核心摘要
- FATF于2026年7月16日发布第七次虚拟资产标准实施更新，明确警告各国可对不合规DeFi平台实施全面禁令
- 全球83%司法辖区已通过旅行规则立法（2025年为73%），但仅40%立法辖区实际开展了执法行动
- 报告首次披露柬埔寨金融集团2021-2025年间利用虚拟资产为有组织犯罪和朝鲜网络盗窃洗钱至少40亿美元
- FATF将稳定币、未托管钱包、离岸VASP和DeFi协议列为四大优先风险领域，要求强化风险监管
- 禁令被视为”合法工具”，但FATF强调无配套侦查与制裁能力的禁令只会制造执法真空
📑 文章目录
- 报告核心发现 — 立法进展与执法落地的剪刀差
- DeFi禁令制度的逻辑与风险 — 有基础设施的禁令 vs 没有基础设施的禁令
- 五大新兴威胁画像 — 从柬埔寨洗钱网络到AI深度伪造
- 对持牌机构的合规启示 — 从被动合规到主动风险识别
本文由 Aiying 艾盈合规团队原创，转载需授权。
2026年7月16日，金融行动特别工作组（FATF）发布第七次虚拟资产与虚拟资产服务提供商标准实施更新报告（Seventh Targeted Update），这是继2025年第六次更新后，全球反洗钱标准制定者对虚拟资产行业最严厉的一次政策信号。报告在肯定83%司法辖区完成旅行规则立法的同时，首次明确将”全面禁止不合规DeFi平台”列入各国的合法政策选项，并将柬埔寨金融集团40亿美元洗钱网络作为”有组织犯罪工业化”的典型案例予以详细披露。
报告核心发现：立法纸面胜利 vs 执法系统滞后
旅行规则实施率提升但虚胖
根据FATF对109个司法辖区的调查，91个司法辖区（83%）已完成旅行规则立法（2025年为73%），另有11个辖区报告立法进程正在推进。表面数据令人鼓舞，但FATF随即指出一组关键矛盾——在已通过立法的辖区中，仅约40%实际采取了监管或执法行动来确保旅行规则的合规执行（Comsure Group，2026-07-16）。
FATF报告用语直白：「许多司法辖区尚未将法律框架转化为有效的监管和执法实践。」这种”立法先行、执法滞后”的结构性缺口，使得犯罪分子能够利用各国执法能力的差异，将资金流导向监管最薄弱的节点。
许可证登记制度——纸上注册 vs 实质运营监管
报告进一步指出，即使在建立了VASP注册或许可制度的辖区，监管机构在识别“谁在真正从事VASP活动”这一基础问题上仍面临重大困难。许多辖区允许企业在完成形式注册后即进入运营，但缺乏持续的现场检查、交易监控审计和违规制裁能力。这种”登记即合规”的假象，为无牌实体和伪装合规的平台提供了操作空间。
DeFi禁令的制度逻辑与风险
禁令成为”合法工具”的制度背景
FATF在报告中确认，越来越多的辖区已转向对不合规DeFi平台的”全面禁止框架”。FATF明确表态——在FATF标准下，禁令是合法的政策选项，前提是执行辖区具备配套的侦查、识别和制裁基础设施（CoinDesk，2026-07-16）。
这一表态的关键在于FATF设置了一个制度条件：没有基础设施的禁令，等于制造执法真空。原话是——”那些禁止DeFi活动却未建立稳健的检测与制裁机制的辖区，不仅无法缩小执法缺口，反而可能扩大漏洞。”
DeFi合规的治理困境：谁在控制协议？
FATF特别指出，随着传统金融机构和持牌交易所越来越多地与DeFi协议互动，识别”DeFi协议的实际控制人”成为全球监管机构面临的共同难题。当一个DeFi协议既没有注册实体、没有明确的决策层级、也没有可接受法律送达的地址时，传统的”识别→许可→监管→执法”四步法就无法落地。报告将DeFi称为”日益显著的风险缺口”。
但FATF同时明确了触发监管的边界：如果一个DeFi协议存在可识别的控制人（无论以何种法律形式存在），且该控制人实质上提供中心化金融服务，则其必须接受与持牌VASP同等的AML/CFT义务。
五大新兴威胁画像
柬埔寨金融集团：40亿美元洗钱基础设施
这是本次报告披露的最令人震惊的案例。FATF调查发现，一家总部位于柬埔寨的金融服务集团在2021年至2025年间，为有组织犯罪集团的”杀猪盘”诈骗和朝鲜网络盗窃活动提供了统一的洗钱通道，累计清洗至少40亿美元非法资金。该集团同时服务两个完全独立的犯罪网络，表明其已建立”洗钱即服务”（Money Laundering-as-a-Service）的工业化运作模式（BlackBox Insight，2026-07-16）。
西班牙460万欧元跨国加密诈骗网络
2025年6月，西班牙国民警卫队（Guardia Civil）捣毁了一个利用加密货币投资诈骗洗钱的跨国网络，涉及至少5,000名受害者来自全球多个国家，洗钱金额约4.6亿欧元。FATF以此案说明虚拟资产欺诈和洗钱正呈现前所未有的跨国性。
稳定币：从合规工具到制裁逃避通道
FATF对稳定币的警告较2025年报告明显升级。报告指出，自上次更新以来，稳定币在非法活动中的使用持续增长——包括朝鲜网络行动、恐怖主义融资和制裁逃避。更令人警惕的是，报告首次注意到”专为抵抗资产冻结和扣押而设计的自有品牌稳定币“的出现——这实质上是一种以合规包装的洗钱工具。
AI驱动的金融犯罪工业化
报告列举了AI在虚拟资产犯罪中的三大应用场景：深度伪造用于身份冒充和KYC破解、合成身份用于大规模开设洗钱账户、以及AI辅助诈骗招聘用于扩充犯罪人力。FATF将这一趋势定性为”大规模增长”。
未托管钱包与离岸VASP的灰色地带
报告将继续强调未托管钱包（P2P转账）和离岸VASP的风险，要求私营部门对这两类交易对手实施增强尽职调查（EDD）、强化区块链分析能力和钱包筛查，并加速可疑模式的识别与上报（Financial Crime Luxembourg，2026-07-16）。
对持牌机构的合规启示
从被动合规到主动风险识别
对持有VASP、MPI、CASP等牌照的合规机构而言，FATF第七次更新的核心信息不是”更多法规即将到来”，而是“你现有的合规框架可能已经失效”。报告反复强调的”纸面立法与实际执法的剪刀差”同样适用于机构层面——持有牌照不等于具备有效的风险防控能力。
持牌机构应从以下几个维度审视现有合规框架：
- DeFi互动的风险敞口评估：如果您的平台或客户资金与DeFi协议存在交互（包括通过聚合器、跨链桥或收益策略），需要对协议的控制人身份、司法管辖区归属和AML/CFT措施进行独立尽职调查
- 稳定币交易的制裁筛查升级：报告披露”抗冻结稳定币”的出现，意味着传统的冻结-扣押机制可能不再有效。持牌机构需要评估稳定币发行方的完整合规资质，而非仅依赖”是否上市”作为安全指标
- AI驱动的交易监控：当犯罪分子开始使用AI进行KYC破解和身份伪造时，仅依赖静态KYC的合规体系将面临系统性失效。机构需要部署具备行为分析和异常模式检测能力的动态监控系统
- 跨境交易的司法管辖区风险评估：柬埔寨集团案例表明，司法管辖区风险不仅是FATF灰/黑名单上的国家，还包括”监管表面合规但实质缺位”的辖区
旅行规则：从”有没有”到”好不好用”
FATF明确指出，83%的立法覆盖率不等于83%的合规覆盖率。仅40%辖区开展了实际执法，意味着在另外60%的辖区中，VASP可能根本不会因为违反旅行规则而面临任何后果。持牌机构在与这些辖区的VASP进行跨境交易时，不能因为对方声称”我们国家有旅行规则法律”就放松尽职调查——需要验证对方是否在监管机构的实际执法范围之内。
常见问题（FAQ）
FATF第七次更新是否意味着DeFi将很快被全球禁止？
并非如此。FATF将禁令定性为一项合法但需有条件的政策工具——即执行禁令的司法辖区必须同时具备侦查和制裁能力。FATF并未要求所有国家禁止DeFi，而是警告：如果DeFi协议存在可识别的控制人且实质上提供中心化金融服务，则必须遵守与持牌VASP同等的AML/CFT义务。对于真正去中心化、无可识别控制人的协议，FATF仍在鼓励各国通过”公共-私营合作”探索监管方案。
柬埔寨金融集团案件对亚太牌照格局有何影响？
柬埔寨已被FATF列入灰名单（加强监控辖区）。此次40亿美元洗钱网络的披露，将显著加剧柬埔寨在FATF互评估中的负面评级——这不仅影响柬埔寨本国的金融体系接入能力，还会使与柬埔寨VASP存在交易关系的所有境外持牌机构面临”高风险司法管辖区交易”的合规审查压力。对于持有新加坡MPI、香港VATP或迪拜VARA牌照的机构，建议立即评估与柬埔寨相关实体的交易敞口。
来源：
- FATF — Seventh Targeted Update on Implementation of the FATF Standards on Virtual Assets/VASPs（2026-07-16）
- FATF Press Release — New FATF Report Calls For Closing Of Regulatory Gaps（2026-07-16）
- CoinDesk — FATF warns DeFi platforms of outright bans over compliance failures（2026-07-16）
- Comsure Group — FATF publishes Seventh Targeted Update on Virtual Assets and VASPs（2026-07-16）
- Financial Crime Luxembourg — FATF Seventh Targeted Update Analysis（2026-07-16）