■中国市场
监管政策
1. 央行点名 Solana 虚拟货币营销：叫停线下活动、多部门联合调查，下一步锁定"境外平台境内关联主体"｜11-07 11:02｜来源：移动支付网
核心内容：11 月 7 日，中国人民银行有关司局负责人接受《金融时报》专访时表示，近期监测发现虚拟货币主要发行平台 Solana 通过境内相关单位高调投放广告，以推广 Solana 品牌的方式进行虚拟货币营销宣传；央行已联合地方金融管理、公安、市场监管等部门叫停线下交流活动，并将会同有关部门对涉事单位和个人开展调查。定性口径：Solana 发行的 Solana 币本质上是虚拟货币，且其为 USDT 等主要虚拟货币的发行交易提供技术服务，两项业务均属 2021 年《关于进一步防范和处置虚拟货币交易炒作风险的通知》（下称《通知》）明确的非法金融活动，宣传推广 Solana 已违反《通知》规定；理由是虚拟货币现阶段无法有效满足客户身份识别、反洗钱要求，易引发投机炒作。下一步，央行将联合相关部门与地方政府，以境内虚拟货币交易商、境外平台的境内关联主体为重点继续打击。报道未披露涉事单位名称、投放规模与调查进展。
涉及机构：中国人民银行（有关司局）、地方金融管理局、公安机关、市场监管部门、《金融时报》、Solana、Tether（USDT）
影响评估：其一，这次的口径变化在于"宣传即违规"：过去两年对虚拟货币的处置集中在交易、兑换、出入金三个动作上，营销通常被视为"擦边"而非本体；本次把"投放广告、推广品牌"直接认定为非法金融活动的组成部分，意味着市场费用、KOL 合作、线下沙龙、赞助活动全部进入执法射程，投放审阅须并入法务红线。其二，点名具体公链并指出其为 USDT 提供技术服务，等于把"稳定币的技术供应商"一并纳入视野：对做链上支付基础设施的公司，合规叙事要从"我们不发币"改写为"我们不服务境内营销与交易"，否则同一句话在两套监管口径下会得出相反结论。其三，"境内关联主体"是跨境执法真正的抓手：境外平台在华的主体通常是市场公司、顾问、外包团队而非持牌实体，这类主体过去责任最轻，如今成为首要调查对象。其四，对 UAE：GCC 加密支付公司在华若有市场推广、社区运营或赞助，风险已从"业务不可做"升级为"宣传即违法"，本地团队应整体冻结中国区营销预算而非逐案审批。下一步看：是否公布涉事单位与处罚结果、是否出现对"技术服务商"的单独定性。
原文链接：https://m.mpaypass.com.cn/news/202611/07110908.html
产品创新
本期无相关条目。
跨境支付
本期无相关条目。
行业动态
本期无相关条目。
◎海外市场
欧美
2. Gnosis Pay 披露 C 端品牌卡系统未授权访问：2 小时内隔离、线上卡支付强制 3DS，涉事系统原定 12-20 下线
时间/来源11-07 10:49｜来源：移动支付网
核心内容11 月 3 日，加密支付卡服务商 Gnosis Pay 的监控系统发现，其面向 C 端的品牌支付卡系统遭未授权访问，部分客户信息泄露；支撑白标卡业务的企业平台未受波及。安全团队在发现后 2 小时内完成系统隔离、更换安全凭证并修复漏洞；涉事系统原计划于 2026 年 12 月 20 日下线。处置动作：强化银行卡与电子钱包交易监控、新增核验规则，所有线上银行卡支付强制启用 3D 安全验证（3-D Secure），措施持续至该 C 端系统停用；已通知受影响客户、同步上报合作伙伴，并对接数据保护机构及发卡机构。Gnosis Pay 称本次泄露未造成用户资金损失，已启动全面复盘并安排专项监测防范信息滥用，同时提醒用户警惕仿冒消息、勿泄露助记词、私钥、PIN 码与完整卡号。报道未披露受影响客户数量、泄露字段清单与法域归属。
涉及机构Gnosis Pay、Visa（卡组织合作方）、发卡机构、数据保护监管机构、受影响持卡人
影响评估其一，"涉事系统原定 12-20 下线"是这条最该记的细节：距离退役仅 47 天，团队资源已转向新系统，遗留系统的补丁与监控优先级天然下滑，而迁移窗口恰恰是攻击面最集中的时段——这不是 Gnosis Pay 的个案，而是所有卡项目换代的通病，迁移计划里必须写明"旧系统冻结期"的加密封控与额外监控。其二，处置动作里最有信息量的是"线上卡支付强制 3DS"：它把风险从"客户信息已泄露"隔离在"授权环节必须二次核验"，这是卡产品在数据泄露后的标准止损，说明 3DS 在 2026 年已从"合规负担"变成"事故响应默认项"。其三，白标企业平台未受影响，是白标架构的红利：C 端品牌卡与 B 端发卡平台物理隔离，使合作方（发卡行、钱包、商户）不被连带；对做白标输出的团队，这是向客户证明"隔离设计"价值的现成案例，也是续约谈判的筹码。其四，对 UAE：稳定币充值卡在本地增长极快，一旦发生同类事件，CBUAE 消费者保护要求与数据保护规则会同时触发，需预先备好"泄露认定—3DS 强制—客户告知—发卡行责任划分"四段预案，并明确谁负责通知持卡人（发卡行还是卡项目方）。下一步看：受影响客户规模与泄露字段、数据保护机构是否立案、3DS 强制是否延续到新系统。
亚太
3. 泰国 SEC 对 Bitget 运营主体提刑事控告，12-05 起封堵网站与 App；同期 Bitget 正洽购持牌交易所 GMO-Z.com
时间/来源11-07 08:55｜来源：Tech in Asia
核心内容泰国证券交易委员会（SEC）已对加密交易所 Bitget 的运营主体 BG Limited 提起刑事控告，并请求主管部门自 12 月 5 日起封堵 Bitget 的网站与应用。指控要点：BG Limited 在 2022 至 2025 年间未取得牌照即在泰国提供交易服务，具体证据为泰语网站、以泰铢标价并收取交易手续费、定向吸引泰国用户；SEC 敦促用户在访问受限前自行处置平台内资产。泰国要求数字资产交易所、经纪商与交易商均须持牌。同期背景：Bitget 正通过关联主体 BTGT Management (Thailand) 寻求收购持牌泰国交易所 GMO-Z.com（GMO 集团旗下），该交易若获批将为其提供合法入市路径。此案与 SEC 此前对 Bybit、CoinEx 等未持牌离岸平台发出的封堵警告属同一轮执法。
涉及机构泰国 SEC、BG Limited（Bitget）、BTGT Management (Thailand)、GMO-Z.com、泰国数字资产投资者
影响评估其一，"先封站、再收购"是新兴市场准入的标准节奏：封堵制造谈判筹码与时间压力，收购持牌主体是唯一解法——与 1105 期 Yellow Card 买下仍在过渡牌照框架内的 GoMoney 完全同构，区别是泰国这一步已经走到刑事层面。其二，指控核心是"本地化运营证据"：泰语站点、泰铢标价、本地客服与本地收款，这些本被视为"提升转化"的运营动作，在监管眼里是"在境内提供服务"的构成要件；对所有做跨境收单、钱包出海的公司，这是一条需要重新校准的红线——本地化程度越高，越容易被认定为持牌主体。其三，刑事控告而非行政处罚，意味着个人责任风险：管理层过境、董事任职、乃至未来申请其他法域牌照时的"适当人选"审查都会受牵连，这与 1103 期 CBUAE 对高管个人的处罚逻辑一致。其四，对 UAE：VARA 与 SCA 的执法同样以"未持牌即封域 + 罚个人"呈现，超级 App 若与离岸交易所合作提供出入金，需同时核查对方在本地牌照与用户所在国牌照两侧的状态，仅看前者会漏掉最大的风险敞口。下一步看：GMO-Z.com 收购是否获泰国 SEC 与 BOT 批准、12-05 封堵是否实际执行、用户资产能否顺利提回。
4. 新加坡金管局就币安被盗表态：平台未持牌、2021 年 9 月已列入投资者警惕名单，持牌 DPT 须自证客户资产保护
时间/来源11-07 11:14｜来源：移动支付网
核心内容据《联合早报》，11 月 5 日，新加坡金融管理局（MAS）就币安被盗事件作出回应：提醒普通民众不宜参与加密货币交易，避免与无监管资质的机构开展相关交易。MAS 指出，币安未取得新加坡相关金融服务牌照，早在 2021 年 9 月已被列入投资者警惕名单（Investor Alert List）；此次被盗预估涉事资产规模 63 亿美元，平台曾暂停提款及部分交易。MAS 同时表示，持牌数字支付代币（DPT）服务商需建立风控机制保护客户资产，但监管不能完全消除加密货币本身的高风险。报道为监管表态整理，未披露是否对币安采取新增措施、也未披露新加坡用户敞口规模。
涉及机构新加坡金管局（MAS）、币安（Binance）、持牌 DPT 服务商、新加坡零售投资者
影响评估其一，MAS 这段话的实质是"责任切割"：监管只承诺"持牌 + 有风控"这一层，明确不承诺"币价与平台风险"，等于把"受监管即安全"的暗示正式否掉——这对本地钱包做加密出入金时的客户告知文本有直接模板价值，也意味着营销素材里不能出现任何"持牌=保本"的表述。其二，"2021 年 9 月即列入名单、五年后仍在名单、用户仍在交易"，说明名单本身不是有效阻断手段：它与泰国 12-05 的"封域 + 刑事"形成两种执法强度对照，同一个问题在新加坡是"提示"，在泰国是"断网"。其三，63 亿美元的口径与我们 1031 期（被盗本体）、1102 期（95% 置换兑付）一致，此处无新增金额，本条增量仅在监管定性与持牌方义务边界。其四，对 UAE：本地若开放加密买卖，客户协议里应显式写明"平台风险不由监管兜底"，并把托管方隔离、提币限额、冷热钱包比例做成可披露项——这是把 MAS 口径转化为产品条款的最低成本方式。下一步看：MAS 是否据此收紧 DPT 牌照的资产隔离要求、币安在新加坡的用户资产处置安排。
中东/非洲/拉美
5. 尼日利亚央行发布非证券类虚拟资产规定：稳定币双轨牌照、2% 超额抵押、两成奈拉储备存央行、禁用算法稳定币
时间/来源11-07 11:09｜来源：移动支付网
核心内容尼日利亚中央银行（CBN）发布《非证券类虚拟资产运营监管规定》，搭建覆盖稳定币发行、支付、兑换、托管以及虚拟资产服务商（VASP）的许可与监管框架。关键条款：稳定币划分为奈拉锚定型与外币锚定型两类，发行主体须取得对应牌照；须保持足额储备，并额外设置 2% 的超额抵押缓冲；奈拉稳定币发行商须将不少于 20% 的储备资产存放于央行。明确禁止发行、销售及交易无足额储备支撑的算法稳定币，以及主要依靠其他加密资产作为支撑的法币锚定代币。同时要求稳定币智能合约具备依法冻结、销毁、限制特定地址交易等功能。未披露牌照申请时点、最低资本金与过渡期安排。
涉及机构尼日利亚中央银行（CBN）、稳定币发行商、虚拟资产服务商、奈拉与外币锚定稳定币持有人
影响评估其一，"2% 超额抵押 + 20% 储备存央行"把稳定币发行变成了准银行业务：储备的一部分被无偿锁定在央行，铸币收益（seigniorage）被直接稀释，商业模型从"吃国债利差"改为"吃通道费"，这会先筛掉一批只靠储备收益活着的小发行方。其二，禁用算法稳定币与"加密资产抵押型法币稳定币"（即 DAI 类超额抵押模式），把合规稳定币限定为现金与国债类储备——方向与 GENIUS、MiCA 一致，但超额抵押在国内立法里少见，说明 CBN 更在意"极端行情下的兑付"而非发行效率。其三，要求合约内置冻结、销毁、地址限制，是把"可编程合规"写进代码：Circle 与 Tether 早已具备黑名单能力，但把能力变成准入条件之后，不可升级合约的公链与去中心化发行模式在尼日利亚基本出局，这对公链选择是硬约束。其四，对 UAE：尼日利亚是非洲最大的稳定币使用市场（汇款 + 进口付汇），也是本地 fintech 的第二主场（OPay 等）；若 CBUAE 后续立规，这套"牌照 + 储备 + 合约控制"三件套是最可能的参考模板，超级 App 接尼日利亚稳定币通道前须确认发行方持牌与合约冻结能力，否则问责链条会断在自己这一环。下一步看：牌照申请窗口与最低资本、20% 储备的计息与否、过渡期是否允许存量业务继续。
6. 巴西央行第 589 号决议 11-06 生效：受监管机构不得与未持牌 VASP 交易，虚拟资产跨境支付纳入外汇监管、对手方非外汇机构时单笔上限 10 万美元
时间/来源11-07 11:24｜来源：移动支付网
核心内容据新华财经，巴西央行正分阶段推进加密资产监管，对虚拟资产服务商（VASP）实施许可管理，并将部分虚拟资产跨境交易纳入外汇监管；存量服务商首阶段许可申请已于 10 月 30 日截止。依据巴西央行第 589 号决议，自 11 月 6 日起，巴西受监管的金融、支付机构等原则上不得与未获许可的 VASP 开展或协助相关交易，法定豁免情形除外；管控范围覆盖虚拟资产交易、中介、托管，以及配套的外汇、支付账户服务。此前三项相关决议已于 2 月 2 日生效，对客户保护、反洗钱与内控安全作硬性要求。跨境侧：部分以虚拟资产进行的国际支付与转账被纳入外汇监管，VASP 开展此类业务时若交易对手并非获准经营外汇业务的机构，交易金额上限为等值 10 万美元；相关外汇与外国资本业务的信息报送要求自 5 月 4 日起实施。
涉及机构巴西中央银行（BCB）、虚拟资产服务商（VASP）、受监管银行与支付机构、外贸与汇款企业、新华财经
影响评估其一，这条的实质不是"发牌照"而是"切断通道"：把禁令压在银行与支付机构一侧，等于让持牌机构成为执法执行者——未获许可的 VASP 不是被罚款，而是失去收付款与托管能力，比处罚平台更有效。其二，10 万美元上限把稳定币跨境支付钉在"小额"区间：B2B 大额结算必须走获准经营外汇业务的机构，稳定币因此被限定在"汇款与小额外贸"场景，这与 1105 期 Yellow Card 收购 GoMoney（519/2025 过渡框架内）正好接续——过渡期结束、许可截止之后，未获批主体的银行通道会被真正掐断。其三，"协助相关交易"四个字把责任扩到了技术服务商与通道方：为 VASP 提供账户、清算、托管、做市的主体都在射程内，合规审查的颗粒度要从"客户是谁"下沉到"客户的客户是谁"。其四，对 UAE：巴西是稳定币跨境走廊的重要一端（汇款与大宗贸易结算），本地钱包或汇款商若以 VASP 为对手方，须核查其 589 号下的许可状态；更值得警惕的是这套"未持牌即断银行通道"的模式正在被复制——尼日利亚同日出台框架、泰国选择封域，说明新兴市场对稳定币的监管已从"观察"转入"用银行体系做闸门"。下一步看：首批获批 VASP 名单与数量、上限是否设年度累计、豁免清单。
▲关键趋势总结
1. 一、加密支付的监管重心从"发不发牌"移到"银行敢不敢接、代码能不能停"。
巴西把禁令压在银行与支付机构一侧，尼日利亚要求稳定币合约内置冻结、销毁、地址限制能力并把两成奈拉储备锁进央行，泰国直接封域并提起刑事控告。判断：监管的抓手已经从"准入许可"换成"通道 + 技术"双闸门——许可只决定你能不能开业，通道决定你能不能收付款，合约能力决定出事时能不能止损。这意味着稳定币发行方的合规成本结构变了：从资本金与法务预算，转向储备锁定与「可升级合约」的工程改造，而"去中心化、不可篡改"的卖点在这类市场里正变成准入障碍。下一步看：巴西首阶段获批名单的规模、尼日利亚牌照的最低资本与过渡期，两项合起来才能判断"合规稳定币"在新兴市场的单位经济是否还成立。
2. 二、中国把执法对象从"交易端"前移到"流量端"，营销本身成为违规事实。
央行点名 Solana 通过境内单位投放广告，联合公安与市场监管部门叫停线下活动并对涉事单位与个人立案调查，同时把"境外平台的境内关联主体"列为下一步重点。判断：这条打通了"境外发行—境内推广—境内主体"的责任链，过去境外平台在华的市场公司、顾问与外包团队责任最轻，现在成为首要抓手；对做链上支付基础设施的公司，"我们不发币"已不足以自证清白，必须能证明不服务境内营销与交易。下一步看：是否公布涉事单位与处罚结果、是否对"技术服务商"单独定性——若出现后者，影响将从公链扩散到钱包、支付网关与做市商。
3. 三、"封堵—收购"仍是最现实的入市路径，但封堵的强度在升级。
泰国 SEC 从行政处罚走到刑事控告 + 12-05 封站，同期 Bitget 通过 BTGT 洽购持牌交易所 GMO-Z.com；巴西则以"切断银行通道"实现同等效果。判断：封站不是终局而是谈判筹码——它的作用是让收购持牌主体的价格与节奏按监管节奏走。真正的风险落在"本地化运营"这一侧：泰语站点、本币标价、本地客服这些提升转化的动作，恰好构成"在境内提供服务"的证据；对超级 App 与收单方，本地化程度就是持牌义务的刻度，需要在产品设计阶段就把"服务提供地"与"持牌主体"对齐。下一步看：GMO-Z.com 交易能否获批、12-05 是否实际执行封堵。
4. 四、支付卡产品的风险面正从"欺诈"转向"数据面"，而遗留系统是最大的敞口。
Gnosis Pay 的 C 端卡系统在距离下线 47 天时遭未授权访问，处置路径是"2 小时隔离 + 强制 3DS + 通知发卡行与数据保护机构"。判断：卡项目的安全预算应按"系统生命周期"而非"交易量"分配，迁移窗口期的旧系统需要单独冻结式管控；同时 3DS 已从合规成本变成事故响应的默认开关，这套动作值得写进卡产品的 SLA。对白标模式，C 端与 B 端系统隔离是这次事件里最有说服力的架构证据。下一步看：受影响客户规模与泄露字段、数据保护机构是否立案。
★Folo 深度推荐
尼日利亚稳定币新规：一份把"可编程合规"写进准入条件的模板
来源·时间：移动支付网·11-07 11:09
这份规定值得逐条拆，因为它把三件事一次性做完了：牌照分类、储备约束、合约能力。第一层是牌照——奈拉锚定与外币锚定分轨，意味着"发美元稳定币"和"发本币稳定币"是两套监管预期，前者争的是跨境走廊，后者争的是本地支付底座，CBN 显然想把两者分开管。第二层是储备——足额储备 + 2% 超额抵押 + 20% 奈拉储备存央行，这组参数的现实含义是：发行商的资产负债表上有一块资产是不能生息或低息的，铸币收益被政策性削薄，商业模型被迫从"吃利差"转向"吃通道费与兑换价差"。这与美国 GENIUS 法案"允许储备生息但限制挪用"、欧盟 MiCA"储备隔离"的取向不同，CBN 走的是更保守的'准准备金'路线。第三层最有前瞻性：要求合约具备依法冻结、销毁、限制地址的功能，等于把监管权限写进智能合约接口。这一条的实际效果是筛掉公链选择——不可升级合约、无治理主体的发行方案在尼日利亚直接出局，"去中心化"从卖点变成负担。对 UAE 团队，这份文件最有用的地方是它把"如果我们要立规，会长什么样"提前演示了一遍：CBUAE 若要管稳定币，最可能的组合就是这三件套。实操建议是把尼日利亚视作监管沙盘，先在小额走廊上跑通"持牌发行方 + 可冻结合约 + 储备披露"的完整链路，再回本地做合规预演。
巴西 589 号决议：用银行体系当闸门，比罚平台有效得多
来源·时间：移动支付网·11-07 11:24
绝大多数市场的加密监管止步于"给 VASP 发牌"，巴西这一步多做了一件事：把义务压在持牌银行与支付机构身上——不得与未获许可的 VASP 开展或协助相关交易。这个措辞的杀伤力在于"协助"：为 VASP 开账户、做清算、提供托管、甚至做市，全部落在射程内，未持牌平台不是被罚款，而是被断掉收付款能力，这在新兴市场远比处罚有效，因为用户真正在意的是"钱能不能进出"。第二个值得记的是跨境侧的外汇口径：以虚拟资产进行的国际支付被纳入外汇监管，当交易对手不是获准经营外汇业务的机构时，单笔上限 10 万美元。这条把稳定币跨境明确挤到"小额"区间——它没有禁止，但用限额把 B2B 大额结算赶回持牌外汇渠道，等于承认稳定币在小额汇款中的效率优势，同时守住大额外汇的管理权。第三个是时间线：存量许可申请 10-30 截止、589 号 11-06 生效、报送要求 5-04 起实施，三步咬得很紧，说明这不是征求意见稿而是已完成的执法准备。对 UAE 的实操含义有两层：一是本地机构若以巴西 VASP 为对手方，必须核查其许可状态，否则自身构成"协助"；二是巴西这套"闸门在银行侧"的做法很可能被复制——尼日利亚同日立规、泰国选择封域，路径不同但方向一致。
泰国封 Bitget 与买 GMO-Z：同一家公司同时在做"被封"和"买牌照"
来源·时间：Tech in Asia·11-07 08:55
这条的价值在于它把"执法与准入是同一件事的两面"摆在了明面上。泰国 SEC 的证据链很有代表性：泰语网站、泰铢标价、收取交易手续费、定向吸引本地用户——没有一条涉及"服务器在境内"或"有本地实体"，全部是服务呈现方式。这意味着任何做跨境业务的公司都可能在不自知的情况下"构成在境内提供服务"，而本地化运营（翻译、本币定价、本地客服、本地支付方式）恰恰是产品团队最热衷的 KPI。第二个看点是刑事而非行政：控告对象是运营主体 BG Limited，但在泰国法律框架下，刑事案件的个人责任与"适当人选"审查会外溢到董事与管理层，影响未来在其他法域的牌照申请——这与 1103 期 CBUAE 对高管个人的处罚是同一种思路。第三点是时间差：封堵自 12-05 生效，而收购 GMO-Z.com 的交易仍在推进，封站与并购同时进行不是矛盾而是配合——封站压缩了谈判时间，也让"买持牌主体"从可选项变成唯一选项。对 UAE 的启示是双重的：一方面 VARA/SCA 的执法同样以"未持牌即封域"呈现，另一方面海湾本地的持牌标的极少且价格高，若要做区域扩张，"先封后买"的节奏很可能会被复制到本地，提前锁定可收购的持牌壳是战略动作而非财务动作。
Gnosis Pay 的 47 天：卡项目最危险的不是新系统，而是将死的旧系统
来源·时间：移动支付网·11-07 10:49
这条新闻的信息密度不在"又泄露了一家"，而在处置细节暴露的组织状态。涉事系统原计划 12-20 下线，事件发生在 11-03——距离退役 47 天。这是所有技术团队都熟悉的窗口：新系统已承接主流量，旧系统的监控告警被降级、补丁排期被推后、熟悉代码的人已经转岗，而它仍然持有完整的客户数据与卡凭证。第二个细节是"支撑白标卡业务的企业平台未受波及"：说明 C 端与 B 端做了物理隔离，这在白标模式里不是标配，很多发行方为了省成本共用一套用户库，一旦出事就是"一家泄露、全部连带"。第三个细节是强制 3DS：数据泄露无法撤回，但可以在授权环节加一道必须通过的核验，把损失从"资金被盗"压到"信息被卖"，这是卡产品在事故后唯一能立刻做、且对用户体验影响可控的动作；值得注意的是它持续到系统停用，即默认"旧系统的风险不会修好，只能等它死"。对 UAE 做稳定币卡或联名卡的团队，这条给出了一份可抄的事故响应清单：2 小时隔离、强制 3DS、通知发卡行与数据保护机构、明确谁通知持卡人；更该抄的是它的预防项——迁移计划里为旧系统设置"冻结期"：停止新增功能、强制加密封控、把它的告警级别提到与新系统同级。