一场横跨十条区块链的黑客攻击，让全球最大虚拟资产交易所币安，在短时间内损失约63亿美元，折合新台币逾2000亿元。 更令人震惊的是，据区块链分析公司调查，大部分资产在短短20分钟内就被转走。 美国联邦调查局已将矛头指向北韩黑客组织TraderTraitor。 然而，真正值得台湾注意的，除了这场堪称世纪级的数字劫案，还有币安随后的处理方式。 10月31日，币安宣布已通过安全基金、保险基金及公司资金，补足约九成遭窃资产，并承诺由公司承担全部财务损失，不让用户买单。 必须说清楚，这九成是业者自行补足的资产，不是司法机关追回的赃款。 前者靠企业财力，后者靠刑事司法。 两者看似都能让被害人拿回财产，背后却是两套完全不同的制度。

这恰恰点出台湾反诈治理长期忽略的问题：政府忙着查人、起诉、判刑，被害人的钱呢？ 从犯罪经济学观察，虚拟资产早已改变诈欺与洗钱的成本结构。 过去犯罪所得需要通过人头帐户、车手提领与地下汇兑逐层移转，如今借由跨链交易、数字钱包及去中心化金融工具，资金可能迅速跨越司法管辖边界。 犯罪集团抢的是时间，司法机关等的却是进程。 等到报案、调阅数据、报请指挥、声请扣押，甚至启动跨境司法互助，资产可能早已转换数次，流向难以掌握的钱包。 法律进程当然不能省略，但制度若无法跟上犯罪速度，再严厉的刑罚，恐怕也只能追究已经搬空金库的嫌犯。 台湾今年6月已三读通过《虚拟资产服务法》，将资产分离保管、资安管理及业者民事赔偿责任纳入规范，方向值得肯定。

但法律写进多少条文是一回事，危机发生时能否真正保障投资人，又是另一回事。 首先，应创建高风险虚拟资产即时通报与保全机制。 由警政、检调、金融监理机关及合规交易平台创建跨机关协作窗口，在符合法律授权、可受司法监督的前提下，对疑似犯罪资产启动紧急风险通报，迅速衔接法定冻结、扣押进程。 其次，应要求保管客户资产的业者具备与营运风险相称的财务保障能力，包括资产隔离、定期压力测试、独立资安稽核及明确的事故赔偿机制。 不能只要求业者证明现在有多少资产，却不检验出事后究竟赔不赔得起。 第三，也是最容易被忽略的一环，就是犯罪资产返还。

政府经常公布查扣多少亿元，却较少同步交代其中多少已依法返还被害人、平均需要多久，以及尚有多少财产困在漫长的司法进程。 查扣是国家的执法成果，返还才是被害人真正感受到的正义。 两者不能画上等号。 当然，交易所自身遭骇与民众受骗汇款，在法律责任上并不相同，不能因币安愿意承担平台损失，就要求所有交易所替第三人的诈骗行为无条件赔偿。 但这次事件至少证明，保护客户财产不能完全依赖犯罪发生后的司法追诉，还必须有事前的保全制度及业者应负的风险责任。 台湾自诩科技大国，半导体领先全球，AI产业蓬勃发展，却不能让数字金融安全仍停留在被害人自行报案、等待司法追赃的年代。 黑客20分钟搬走数十亿美元，司法进程却可能走上数年。

当犯罪已经进入高速公路，政府的资产保全制度还在等红绿灯。 反诈治理真正要回答的，不只是抓到多少嫌犯、判了多少刑，更是人民辛苦累积的财产，最后究竟能拿回多少。 否则，国家赢了官司，犯罪者进了监牢，被害人却仍两手空空。 这样的打诈成绩单，恐怕还称不上真正的胜利！ ＊作者为国立高雄科技大学兼任助理教授