核心摘要
- FATF于2026年7月16日发布第七次虚拟资产标准实施更新，关注DeFi控制人识别及监管实施缺口，并非要求各国全面禁止所有DeFi
- 旅行规则问题的109个受访辖区中91个（83%）已立法；这91个辖区中约40%采取过相关监管或执法措施
- 报告首次披露柬埔寨金融集团2021-2025年间利用虚拟资产为有组织犯罪和朝鲜网络盗窃洗钱至少40亿美元
- FATF将稳定币、未托管钱包、离岸VASP和DeFi协议列为四大优先风险领域，要求强化风险监管
- 禁令属于部分辖区选择的政策工具；其有效性仍须依靠识别、监管与执行能力，不是FATF下令全面禁止DeFi
📑 文章目录
- 报告核心发现 — 立法进展与执法落地的剪刀差
- DeFi禁令制度的逻辑与风险 — 有基础设施的禁令 vs 没有基础设施的禁令
- 五大新兴威胁画像 — 从柬埔寨洗钱网络到AI深度伪造
- 对持牌机构的合规启示 — 从被动合规到主动风险识别
本文由 Aiying 艾盈合规团队原创，转载需授权。
2026年7月，FATF发布第七次虚拟资产与虚拟资产服务提供商标准实施更新。旅行规则问题的109个受访辖区中，91个（83%）已立法；报告同时关注监管执行、DeFi安排识别及非法资金风险。不能把受访比例扩大为全球所有辖区，也不能将部分辖区的禁令政策写成FATF对所有DeFi的全面禁令。
报告核心发现：立法纸面胜利 vs 执法系统滞后
旅行规则实施率提升但虚胖
根据FATF对109个司法辖区的调查，91个司法辖区（83%）已完成旅行规则立法（2025年为73%），另有11个辖区报告立法进程正在推进。表面数据令人鼓舞，但FATF随即指出一组关键矛盾——在已通过立法的辖区中，仅约40%实际采取了监管或执法行动来确保旅行规则的合规执行（FATF第七次更新，第24–25段）。
报告显示，立法与实际监管执行之间仍有缺口。该结论是对报告调查结果的转述，不是原文逐字引语；有法律不等于实际监管与执法已充分落地。
许可证登记制度——纸上注册 vs 实质运营监管
报告进一步指出，即使在建立了VASP注册或许可制度的辖区，监管机构在识别“谁在真正从事VASP活动”这一基础问题上仍面临重大困难。许多辖区允许企业在完成形式注册后即进入运营，但缺乏持续的现场检查、交易监控审计和违规制裁能力。这种”登记即合规”的假象，为无牌实体和伪装合规的平台提供了操作空间。
DeFi禁令的制度逻辑与风险
禁令成为”合法工具”的制度背景
FATF讨论部分辖区采用全面或局部禁止虚拟资产及VASP活动的政策，同时指出执行仍有困难。DeFi是否落入VASP监管范围，应判断是否存在控制或充分影响其安排的人；这不是对全部DeFi的一概禁止要求。
政策文字不能替代实际执行能力。原文所谓“那些禁止DeFi活动……”未取得对应原文支持，不再作为FATF直接引语使用；禁令与其执行成效须分别评估。
DeFi合规的治理困境：谁在控制协议？
FATF特别指出，随着传统金融机构和持牌交易所越来越多地与DeFi协议互动，识别”DeFi协议的实际控制人”成为全球监管机构面临的共同难题。当一个DeFi协议既没有注册实体、没有明确的决策层级、也没有可接受法律送达的地址时，传统的”识别→许可→监管→执法”四步法就无法落地。报告将DeFi称为”日益显著的风险缺口”。
但FATF同时明确了触发监管的边界：如果一个DeFi协议存在可识别的控制人（无论以何种法律形式存在），且该控制人实质上提供中心化金融服务，则其必须接受与持牌VASP同等的AML/CFT义务。
五大新兴威胁画像
柬埔寨金融集团：40亿美元洗钱基础设施
这是本次报告披露的最令人震惊的案例。FATF调查发现，一家总部位于柬埔寨的金融服务集团在2021年至2025年间，为有组织犯罪集团的”杀猪盘”诈骗和朝鲜网络盗窃活动提供了统一的洗钱通道，累计清洗至少40亿美元非法资金。该集团同时服务两个完全独立的犯罪网络，表明其已建立”洗钱即服务”（Money Laundering-as-a-Service）的工业化运作模式（BlackBox Insight，2026-07-16）。
西班牙460万欧元跨国加密诈骗网络
2025年6月，西班牙国民警卫队（Guardia Civil）捣毁了一个利用加密货币投资诈骗洗钱的跨国网络，涉及至少5,000名受害者来自全球多个国家，洗钱金额约4.6亿欧元。FATF以此案说明虚拟资产欺诈和洗钱正呈现前所未有的跨国性。
稳定币：从合规工具到制裁逃避通道
FATF对稳定币的警告较2025年报告明显升级。报告指出，自上次更新以来，稳定币在非法活动中的使用持续增长——包括朝鲜网络行动、恐怖主义融资和制裁逃避。更令人警惕的是，报告首次注意到”专为抵抗资产冻结和扣押而设计的自有品牌稳定币“的出现——这实质上是一种以合规包装的洗钱工具。
AI驱动的金融犯罪工业化
报告列举了AI在虚拟资产犯罪中的三大应用场景：深度伪造用于身份冒充和KYC破解、合成身份用于大规模开设洗钱账户、以及AI辅助诈骗招聘用于扩充犯罪人力。FATF将这一趋势定性为”大规模增长”。
未托管钱包与离岸VASP的灰色地带
报告将继续强调未托管钱包（P2P转账）和离岸VASP的风险，要求私营部门对这两类交易对手实施增强尽职调查（EDD）、强化区块链分析能力和钱包筛查，并加速可疑模式的识别与上报（Financial Crime Luxembourg，2026-07-16）。
对持牌机构的合规启示
从被动合规到主动风险识别
对持有VASP、MPI、CASP等牌照的合规机构而言，FATF第七次更新的核心信息不是”更多法规即将到来”，而是“你现有的合规框架可能已经失效”。报告反复强调的”纸面立法与实际执法的剪刀差”同样适用于机构层面——持有牌照不等于具备有效的风险防控能力。
持牌机构应从以下几个维度审视现有合规框架：
- DeFi互动的风险敞口评估：如果您的平台或客户资金与DeFi协议存在交互（包括通过聚合器、跨链桥或收益策略），需要对协议的控制人身份、司法管辖区归属和AML/CFT措施进行独立尽职调查
- 稳定币交易的制裁筛查升级：报告披露”抗冻结稳定币”的出现，意味着传统的冻结-扣押机制可能不再有效。持牌机构需要评估稳定币发行方的完整合规资质，而非仅依赖”是否上市”作为安全指标
- AI驱动的交易监控：当犯罪分子开始使用AI进行KYC破解和身份伪造时，仅依赖静态KYC的合规体系将面临系统性失效。机构需要部署具备行为分析和异常模式检测能力的动态监控系统
- 跨境交易的司法管辖区风险评估：柬埔寨集团案例表明，司法管辖区风险不仅是FATF灰/黑名单上的国家，还包括”监管表面合规但实质缺位”的辖区
旅行规则：从”有没有”到”好不好用”
83%是该问题受访辖区的立法比例；约40%是已立法的91个辖区中采取相关监管或执法措施的比例，不只统计刑事执法。未报告采取这些措施，不等于当地VASP违法一律不会有后果；跨境机构仍须按实际监管及交易风险尽调。
常见问题（FAQ）
FATF第七次更新是否意味着DeFi将很快被全球禁止？
并非如此。FATF未要求各国全面禁止所有DeFi。应识别安排中的控制或充分影响者，并对落入VASP定义的活动适用相关AML/CFT要求；各辖区的政策选择与执行能力须分别核对。
柬埔寨金融集团案件对亚太牌照格局有何影响？
不能由报告中的犯罪案例直接推定柬埔寨已重列灰名单、互评结果必然下降或所有相关跨境交易自动被认定高风险。FATF曾于2023年2月24日将柬埔寨移出加强监控；具体名单状态应核对相关时点公告，个别实体、客户和交易风险仍须独立评估。
来源：
- FATF — Seventh Targeted Update on Implementation of the FATF Standards on Virtual Assets/VASPs（2026-07-16）
- FATF Press Release — New FATF Report Calls For Closing Of Regulatory Gaps（2026-07-16）
- CoinDesk — coindesk.cc转引页：FATF warns DeFi platforms of outright bans over compliance failures（2026-07-16）（非CoinDesk原站；原链接已失效；原始出处仍未核实）
- Comsure Group — FATF publishes Seventh Targeted Update on Virtual Assets and VASPs（2026-07-16）
- Financial Crime Luxembourg — FATF Seventh Targeted Update Analysis（2026-07-16）