某家成立不久的贸易公司，突然向海外供应商支付大笔货款。 银行收到付款指示，核对公司登记、交易发票及收款帐户，文档看似齐全，款项通过正常的国际银行系统导出。 然而，真正委托付款的客户可能位于俄罗斯，资金背后甚至涉及遭受制裁的金融机构。 这是根据美国金融监理机关揭露手法所构成的典型情境。 当公司登记、银行帐户与贸易文档都看似正常，金融机构究竟还能掌握多少交易真相？ 2026年10月1日，美国财政部金融犯罪执法局（FinCEN）发布A7跨国金融网络警示。 依FinCEN分析，该网络通过境外公司、第三方代理人及数字资产，协助俄罗斯及其他高度受制裁地区的客户完成跨境付款，掩饰交易与受制裁行为者之间的关联。

根据美国《银行保密法》数据，伊朗中央银行、伊朗伊斯兰革命卫队等行为者曾利用该网络。 其内核公司早于2025年受到美国制裁，此次警示揭露其规避金融制裁的具体手法。 2022年俄罗斯全面入侵乌克兰后，部分遭制裁的俄罗斯银行被排除于SWIFT金融消息系统之外，使既有跨境支付更加困难。 然而，企业仍须取得外币、支付货款及维持国际贸易，替代支付服务因而取得发展空间。 这套机制的内核，是让境外公司代替俄罗斯等地的客户付款，使真正委托人及交易的制裁关联难以从对外付款纪录辨识。 经营者在香港、印尼、吉尔吉斯、塞舌尔、土耳其及阿拉伯联合酋长国等地，通过设立、收购或合作方式创建数百家境外公司，作为跨境付款的次级代理人。

这些公司名义上由非俄罗斯的第三国人士持有或经营，依FinCEN认定，背后受同个组织控制。 截至2026年6月，该网络利用分布于至少83个国家、约435家金融机构的帐户，创建庞大的境外付款管道。 俄罗斯客户需要支付海外货款时，境外代理公司便以自身名义，通过通汇银行及SWIFT金融消息系统办理付款。 收款银行看到第三国企业支付货款，交易文档却未揭露背后的俄罗斯委托人。 FinCEN指出，部分交易还涉及伪造贸易文档、虚假进出口纪录及误导性商品描述，借此掩饰交易目的，属于贸易洗钱（TBML）手法。 为隐藏境外公司的控制关系，部分位于莫斯科的人员通过虚拟私人网络（VPN）远程操作银行帐户，使登录IP位置看似位于杜拜、香港或吉尔吉斯。

银行查核公司登记数据，看到第三国经营者；查看汇款纪录，看到境外企业付款；追查登录位置，却难以发现背后的莫斯科操作者。 公司登记、贸易文档与银行纪录各自看似合理，真正的控制者却藏在不同数据之间。 除了境外代理付款，这套机制还结合稳定币移转资金。 由吉尔吉斯公司Old Vector LLC发行的A7A5，与俄罗斯卢布挂钩，发行方宣称每枚代币均由存放于俄罗斯普罗斯维亚兹银行（PSB）的卢布存款支持。 该代币虽曾公布准备资产查核报告，但信息韧性中心（CIR）指出，报告依赖发行方及银行提供的确认文档，存在利益冲突疑虑，难以据此充分确认准备资产。

在使用A7A5的交易安排中，代币用于内部价值移转与帐务平衡，境外代理公司则利用银行帐户向供应商支付美元、欧元等货币。 俄罗斯端的数字资产移转与境外银行付款相互对应，形成镜像交易（mirror transactions）。 两端无须通过同笔直接跨境汇款衔接，而是以对应交易及内部帐务维持价值平衡。 因此，境外银行的付款纪录难以完整呈现俄罗斯委托人与海外收款人之间的付款关系。 其他代理付款则可能使用不同清算工具，未必涉及稳定币。 FinCEN指出，2025年2月至2026年6月，超过180个实体处理的A7A5交易总额至少达1,791亿美元。 这是累计交易量，包含内部代币移转，不能等同经司法认定的洗钱所得或净资金流量。

该代币还能通过场外交易商转换为USDT等流通性较高的稳定币，再兑换成法定货币，增加追查资金流向的难度。 面对这套跨境支付安排，美国财政部于2026年10月1日采取制裁与金融监理措施。 外国资产控制办公室（OFAC）将A7网络指定为重大跨国犯罪组织，指出A7A5因发行公司Old Vector LLC对其具有财产利益而属于受冻结财产。 FinCEN则依《打击俄罗斯洗钱法》第9714(a)条提出规则草案，拟禁止受规范的美国金融机构办理涉及A7次级代理人交易的资金发送。 OFAC制裁已有法律效力，FinCEN提出的禁止措施尚处于规则制定阶段。

FinCEN提出的警示指针，包括新设公司短期内出现大量跨境汇款、资金经多国空壳公司转手、货物内容与企业营业项目不符，以及发票价格、日期异常。 部分贸易文档甚至疑似经人工智能生成或修改，出现文本错乱、印章变形等迹象。 不过，第三方付款、境外公司及稳定币均有合法用途，单项异常不能直接认定交易违法或可疑，银行仍须结合客户背景、交易目的与商业实务判断。 对台湾金融业而言，现行制度已有辨识代理人、实质受益人及监控异常交易的规范。 我国《金融机构防制洗钱办法》第3条要求查证代理事实与代理人身分、辨识实质受益人及了解法人控制结构；第5条、第6条及第9条规范持续审查、风险导向措施与交易监控。

问题在于，银行完成客户身分查核后，能否从交易内容发现未揭露的付款委托关系。 例如，新设境外公司频繁替不同企业支付货款，交易规模远超过其营业能力，银行便应依风险程度及依法取得的数据，确认代理付款的商业理由，查看货物买受人、付款义务人与资金提供者之间的关系。 这些查核属既有洗钱防制要求的风险导向运用，无须对所有跨境交易采取相同进程。 资安情资则提供不同的查核线索。 银行资安监控机制可掌握登录IP、设备识别及异常连接纪录，洗钱防制部门负责分析交易与资金来源。 若客户帐户出现异常登录位置，同时伴随与其营业规模不符的大额汇款，便应查看帐户是否由未揭露的第三方操作。

金融机构可在符合个资保护及金融保密规范下，集成资安告警、合法取得的区块链线索与交易监控信息，提升风险辨识能力。 发现疑似洗钱交易后，申报信息的品质同样影响调查成效。 《金融机构防制洗钱办法》第12条及第15条规范交易纪录保存与可疑交易申报。 银行应依法申报，在已掌握且依法得提供的范围内，整理付款指示、公司控制关系及资金转汇路径，协助法务部调查局洗钱防制处进行跨案件分析。 金管会则可通过案例回馈，协助金融机构调整监控规则。 跨境金流涉及银行、虚拟资产服务提供者及贸易管理机关，单靠个别金融机构掌握的数据，难以还原完整交易。

建议金管会、法务部调查局及经济部等机关，依各自职权研议情资交换进程；涉及银行汇款、数字资产移转及进出口数据的交换与比对，须有相应法律依据，并明确规范数据范围、使用目的、访问权限及保存期间。 美国制裁措施对台湾银行的影响，还须从跨境法遵角度评估。 OFAC制裁名单不当然等同我国《资恐防制法》下的法定冻结对象，但交易涉及美元清算、美国金融机构或境外通汇银行时，须注意美国制裁法规的适用范围及通汇契约义务，避免混淆不同法域的法律效果。 回到开头那家成立不久的贸易公司，银行即使确认登记数据、发票及收款帐户，也未必知道谁在背后指挥付款。 境外代理公司、银行帐户与数字资产交易各自留下纪录，却未必揭露完整资金关系。

当跨境支付安排被用于隐匿受制裁行为者或处理不法资金，台湾金融业能否从分散的交易与资安纪录中辨识真正的付款委托关系，并依法判断制裁、洗钱及通汇风险，将成为跨境金融监理的重要考验。 ＊作者为法律与资安领域的大专院校兼任教师