从Bybit薪酬事件总结Web3需要的财管理念

吴说区块链在7⽉28⽇报道了《离奇案件全⽂：Bybit发薪负责⼈⼤量盗取USDT新加坡法院详解加密货币财产属性》这⼀事件，引起业内不少讨论。本⽂将从财管⻆度进⾏分析与总结。

事件概要

加密交易所Bybit起诉负责公司内⽀付⼯资的Ho⼥⼠滥⽤职权，将⼤量USDT转移到她秘密拥有和控制的地址。新加坡⾼等法院普通庭7⽉25⽇维持判决Ho⼥⼠⽴即向Bybit⽀付所有转移的款项与利息。

事件细节分析

1、By Bit Fintech Limited（“ByBit”）寻求对第⼀被告，名为Ho Kai Xin（“Ho⼥⼠”）的判决。对她的指控是，她违反了她的雇佣合同，滥⽤了她的职务，将⼀些USDT转移到了她秘密拥有和控制的“地址”，以及⼀些法币转移到了她⾃⼰的银⾏账户。寻求的主要救济是声明何⼥⼠为ByBit托管USDT和法定货币。因此，ByBit要求退还相同的或可追溯的收益，或⽀付等价值的⾦额。

从上述细节可得出：

（1）Ho⼀⼈完全控制薪酬有关加密货币账户和法币账户，⽆多级授权；

（2）资⾦控制流程存在较⼤漏洞（与账户有关的内控缺失即使只损失1美⾦也是较⼤漏洞）。

2、作为她的职责的⼀部分，Ho⼥⼠维护了⼀份微软Excel表格，该表格记录了每个⽉应⽀付给ByBit员⼯的现⾦和加密货币⽀付（分别为“法币Excel⽂件”和“加密货币Excel⽂件”）。ByBit的员⼯可以并且确实经常通过向Ho⼥⼠传达新的地址来更改他们指定的地址，然后Ho⼥⼠会更新加密货币Excel⽂件。只有Ho⼥⼠能够更新加密货币Excel⽂件，并且只有她能访问这些⽂件，除了每个⽉需要将加密货币Excel⽂件提交给她的直接上级Casandra Teo审批。

从上述细节可得出：

（1）发薪地址的收集流程较为随意，可以随意修改，没有留痕；

（2）发薪地址的审核不仅是形式上的，⽽且审核资料是单⼀来源，没有办法确认接收地址是否真实或者被造假。

（3）2022年9⽉7⽇，ByBit发现在2022年5⽉31⽇⾄8⽉31⽇之间发⽣了⼋笔不寻常的加密货币⽀付（“异常交易”），涉及向四个地址（我将其简单地称为地址1、2、3和4）转⼊⼤量的USDT。总共转移了4,209,720个USDT（“加密资产”）。

USDT之所以得名，是因为它的价值与美元挂钩，每个USDT都赋予其持有者（即发⾏⼈Tether Limited的“验证客户”）以合同权利，可以⽤美元兑换他们的USDT。

3、这些异常交易被编⼊⼀个Excel电⼦表格（“对账Excel⽂件”），Ho⼥⼠被指派负责解释这些差异。Ho⼥⼠最初将异常交易归咎于⽆意的错误或技术错误，并提出计算需要从ByBit的员⼯那⾥收回的⾦额。

从上述细节可得出：

（1）Bybit内部应该有对账过程，但时间相对滞后，可能与业务量较多中后台⽀持⽆法跟上的原因有关；

（2）事后补坑的成本远远⼤于事前规划的成本。

4、ByBit还发现Ho⼥⼠在2022年5⽉导致117,238.46美元（“法币资产”）被⽀付⼊她的个⼈银⾏账户。⽆可争议的是，Ho⼥⼠⽆权得到法币。

从上述细节可得出：

（1）法币账户也沦陷，百思不得其解，法币发薪这样传统的⼯作，不管是流程还是⼯具案例应该数不胜数；

（2）即使出于薪资保密的原因需要交由HR进⾏⽀付和授权（部分⼯作脱离财务控制），但是基本的⼯资表制作、银⾏⽀付动作和授权三者也需要分离。

适⽤于Web3的财管理念

Web3经过多年发展除了涌现不少商业巨头，也在吸引越来越多Web2的⼈⼠进⼊，结合最近两年监管和合规环境的演变，必要的财管思路和⼿段需要引起越来越多的Web3公司重视。

1、保护加密&法币账户的安全：隔离⻛险，分离基础信息收集节点、操作节点和授权节点，并且在每⼀个节点验证不同来源的同⼀信息，避免信息源只有⼀处并⽆法对⽐溯源；

2、财务核验机制：如定期对账、记账，同样的验证不同来源的同⼀信息，避免信息源只有⼀处并⽆法对⽐溯源，频率不应超过⼀个⽉。核验机制保证了“业务闭环”（没想到更好的词替代“闭环”），即事项的发⽣和是否发⽣的正确和在轨相互验证；

3、会计记录-包括加密货币：完整有效的会计记录以及可回溯的证据链将⼤⼤降低内控失效的⻛险，并且利⽤会计记录进⾏经营管理和应对外部合规义务（FTX的崩溃与其混乱的会计记录也存在⼀定关系）；

4、内控的必要性：重要的是要有经营管理和内控的Sense，如果能配合内化了内控、会计、税务⼤量实操经验的优秀⾃动化管理软件，可以最⼤化保证你的加密事业⾏稳致远。