一場橫跨十條區塊鏈的駭客攻擊，讓全球最大虛擬資產交易所幣安，在短時間內損失約63億美元，折合新台幣逾2000億元。 更令人震驚的是，據區塊鏈分析公司調查，大部分資產在短短20分鐘內就被轉走。 美國聯邦調查局已將矛頭指向北韓駭客組織TraderTraitor。 然而，真正值得台灣注意的，除了這場堪稱世紀級的數位劫案，還有幣安隨後的處理方式。 10月31日，幣安宣布已透過安全基金、保險基金及公司資金，補足約九成遭竊資產，並承諾由公司承擔全部財務損失，不讓用戶買單。 必須說清楚，這九成是業者自行補足的資產，不是司法機關追回的贓款。 前者靠企業財力，後者靠刑事司法。 兩者看似都能讓被害人拿回財產，背後卻是兩套完全不同的制度。

這恰恰點出台灣反詐治理長期忽略的問題：政府忙著查人、起訴、判刑，被害人的錢呢？ 從犯罪經濟學觀察，虛擬資產早已改變詐欺與洗錢的成本結構。 過去犯罪所得需要透過人頭帳戶、車手提領與地下匯兌逐層移轉，如今藉由跨鏈交易、數位錢包及去中心化金融工具，資金可能迅速跨越司法管轄邊界。 犯罪集團搶的是時間，司法機關等的卻是程序。 等到報案、調閱資料、報請指揮、聲請扣押，甚至啟動跨境司法互助，資產可能早已轉換數次，流向難以掌握的錢包。 法律程序當然不能省略，但制度若無法跟上犯罪速度，再嚴厲的刑罰，恐怕也只能追究已經搬空金庫的嫌犯。 台灣今年6月已三讀通過《虛擬資產服務法》，將資產分離保管、資安管理及業者民事賠償責任納入規範，方向值得肯定。

但法律寫進多少條文是一回事，危機發生時能否真正保障投資人，又是另一回事。 首先，應建立高風險虛擬資產即時通報與保全機制。 由警政、檢調、金融監理機關及合規交易平台建立跨機關協作窗口，在符合法律授權、可受司法監督的前提下，對疑似犯罪資產啟動緊急風險通報，迅速銜接法定凍結、扣押程序。 其次，應要求保管客戶資產的業者具備與營運風險相稱的財務保障能力，包括資產隔離、定期壓力測試、獨立資安稽核及明確的事故賠償機制。 不能只要求業者證明現在有多少資產，卻不檢驗出事後究竟賠不賠得起。 第三，也是最容易被忽略的一環，就是犯罪資產返還。

政府經常公布查扣多少億元，卻較少同步交代其中多少已依法返還被害人、平均需要多久，以及尚有多少財產困在漫長的司法程序。 查扣是國家的執法成果，返還才是被害人真正感受到的正義。 兩者不能畫上等號。 當然，交易所自身遭駭與民眾受騙匯款，在法律責任上並不相同，不能因幣安願意承擔平台損失，就要求所有交易所替第三人的詐騙行為無條件賠償。 但這次事件至少證明，保護客戶財產不能完全依賴犯罪發生後的司法追訴，還必須有事前的保全制度及業者應負的風險責任。 台灣自詡科技大國，半導體領先全球，AI產業蓬勃發展，卻不能讓數位金融安全仍停留在被害人自行報案、等待司法追贓的年代。 駭客20分鐘搬走數十億美元，司法程序卻可能走上數年。

當犯罪已經進入高速公路，政府的資產保全制度還在等紅綠燈。 反詐治理真正要回答的，不只是抓到多少嫌犯、判了多少刑，更是人民辛苦累積的財產，最後究竟能拿回多少。 否則，國家贏了官司，犯罪者進了監牢，被害人卻仍兩手空空。 這樣的打詐成績單，恐怕還稱不上真正的勝利！ ＊作者為國立高雄科技大學兼任助理教授