a16z 重提可复用 KYC：机构上链的反洗钱责任只及自身客户，KYW/KYA/KYT 与「了解你的代理」如何落地

Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。

顶格判断：a16z crypto 的 Maggie Hsu 和 Michele Korver 这篇《Rethinking KYC》真正想说的，不是「取消 KYC」，而是一句话——机构上链时，《银行保密法》（BSA） 的反洗钱义务只落在「它自己的客户 + 它自己的交易」上，不该被解读成要识别底层结算网络里的每一个参与者。这是给银行和券商系机构松绑的合规定调，配合 FinCEN 2026 年连续两次表态，机构用「可复用 KYC」上链的空间，比多数人以为的大。

• 银行 / 券商：不必为公链网络里的每个地址做身份核验，但要把「自身客户 + 自身交易」的合规体系搭清楚
• 交易所 / VASP：可复用 KYC 是「采信」还是「外包」的定性，直接决定你扛多少法律责任——这层最容易踩坑
• 做链上身份 / 凭证的产品方：FinCEN 2026 年 9 月 FAQ 已认可「合格的可验证数字凭证」用于银行 CIP，窗口开了

对你意味着什么

银行与券商系机构

你真正要解决的不是「技术上能不能上链」，而是「责任边界怎么划」。a16z 给的判据是客户身份识别规则的核心——谁在这家机构开了户。据此，用户不会因为跟你的客户交易、或跟你的流动性池兑换，就成了你的客户。你只要搭一套覆盖自身客户和相关交易的合规体系，就能满足 BSA 义务，不管底层是哪条链、哪个协议在结算。这个解读如果被监管正式背书，能省掉机构上链最重的一块合规成本。

交易所与 VASP

想复用别家已经做过的 KYC，先分清两个词：「采信（reliance）」 和 「外包（outsourcing）」。按 FFIEC《BSA/AML 手册》，采信只能采信「另一家受监管金融机构」的核验结果；如果对方只是身份核验供应商、征信机构这类不具资质的主体，那只能算外包，客户身份识别（CIP）的全部责任还是你的。很多加密平台即便注册了 MSB、是州特许信托，也不满足美国联邦 AML/CIP 采信规则下的「受监管机构」定义——这意味着它们做不了正式采信的对手方。而制裁与反洗钱义务的落点，直接决定 VASP 的自查范围（美国 OFAC 制裁朝鲜 IT 工人收入网络涉加密洗钱：VASP 与支付机构自查清单）。

家办与机构投资人

这条对你不直接，但影响你挑服务商时的判断：一个平台说「我们采信了 Coinbase 的 KYC」，你要能追问一句——这是法律意义上的采信，还是只是商务上的共享？两者法律责任完全不同，尽调时值得多问一层。

关键事实

文章作者是 a16z crypto 的 Maggie Hsu、Michele Korver，原文刊于 a16z crypto（a16z crypto，2026-10）。核心工具框架是三套：KYW（了解你的钱包）、KYA（了解你的资产）、KYT（了解你的交易），并延伸到 「了解你的代理（Know Your Agent）」。监管背景上，FinCEN 在 2026 年 4 月的提案里把机器学习、生成式 AI、数字身份、区块链监控分析列为满足 AML 义务的创新方案，并明确「负责任地试验创新技术，不会仅仅因此遭受重大监管核查或执法」；2026 年 9 月的 FAQ 进一步认可「合格的可验证数字凭证」可用于银行的客户身份识别（CIP）。《GENIUS 法案》 落地后，反洗钱与制裁义务被赋予「获许可的稳定币发行方」——即可识别的应用层主体，而非稳定币流通的无许可底层网络。

真正的信号是什么

美国这边不用新增专项立法，现有框架就能装下这套东西——这是全文最被低估的一句话。a16z 把「责任划到应用层可识别主体」的逻辑，和 GENIUS 法案 对稳定币的处理对齐，等于给机构指了一条路：与其等立法，不如用监管指引、规则修订、创新豁免去适配。真正的信号不是「KYC 要变天了」，而是「链上合规的主战场，正在从『收更多数据』转向『让核验结果可复用』」。这也是前 SEC 专员 Peirce 那句「一直靠收集更多数据，这套方法效果并不理想，是时候变了」背后的方向。

给一线合规：这套机制怎么搭的

要落地「可复用 KYC」，先过三道关：

第一，采信的资质门槛。按 FATF，机构可以委托第三方做部分客户尽调，但必须同时满足三条：① 第三方本身受 AML/KYC 监管监督、有对应合规措施；② 采信机构能应要求即时调取底层 KYC 原始数据；③ 采信机构对最终合规结果负全责。第二条「即时调取原始数据」跟多数链上 KYC 方案的隐私设计直接冲突——这是加密方案绕不开的硬点，也是执法要一个「可信源头 + 书面证据」的底线。执法要的可信源头，正是 VASP 内部安全防线的意义所在（币安拦截朝鲜「Contagious Interview」社会工程攻击实录）。

第二，旅行规则的范围。在美国，旅行规则消息传递只在金融机构之间做；VASP 无需向自托管钱包这类非金融机构主体发送数据。但非美法域口径不一——金额阈值、以及 VASP 是否必须向非 VASP 收集数据，各国还在定。出海机构要按法域逐一对。

第三，工具选型。合规逻辑可以写在代币合约层（Securitize、Ondo、Superstate 的转账白名单），也可以落在许可网络（Canton、Circle Arc），还可以用可验证凭证 + 零知识证明做「证明属性、不暴露原始数据」。这三条路不是互斥，是要按你的客户类型和法域组合。隐私保护也不是空话：无 KYC 平台一旦数据泄露，用户的存款、收款地址和 IP 会被串成一线（无 KYC 门罗兑换平台 Wagyu 数据泄露）。

给团队的 checklist：① 明确你复用别家 KYC 时，是「采信受监管金融机构」还是「外包供应商」，责任落点写进合同；② 旅行规则按法域核对金额阈值与非 VASP 义务；③ 链上身份方案是否满足「执法可即时调取 + 可信源头」两条底线。存疑点：数字身份何时能正式满足 CIP/KYC，目前只有 FAQ 级别的认可，还没有正式规则；行业正在呼吁 FinCEN 和银行监管机构出书面指引。

接下来盯什么

• FinCEN 或银行监管机构是否出正式规则 / 书面指引，明确「数字身份何时可用于 CIP/KYC」
• Fireblocks OTL、Privado ID、SpruceID 这类「可信发行方 + 可验证凭证」方案，有没有银行级客户真金白银落地
• 「了解你的代理」框架是否随 AI 代理交易规模扩大，被纳入正式监管议程（ERC-8004 上线首周注册量已超 3 万）
• 非美法域（尤其欧盟 / 新加坡 / 香港）对「可复用 KYC」和「向非 VASP 收集数据」的态度，会不会跟美国形成落差

已确定的：FinCEN 两次表态打开了窗口、GENIUS 法案把责任落在应用层。没定论的：可复用 KYC 的正式规则、采信关系的资质边界、以及 AI 代理的「了解你的代理」监管框架。

本文仅供信息参考，不构成法律、投资或财务建议；具体申请与合规安排以最新法规及监管机构官方口径为准。转载请注明来源。

---

本文基于 a16z crypto《The key to getting more institutions onchain: Rethinking KYC》（Maggie Hsu、Michele Korver） 撰写。

初版日期：2026-11-02 | 最后更新：2026-11-02