6月22日，由国际货币基金组织（IMF）、新加坡金融管理局（MAS）、法国中央银行、摩根大通、渣打银行等机构组成的Global Layer One（GL1）公私合作倡议发布了名为《Programmable Compliance: Compliance Architecture for Regulated Tokenised Assets》的白皮书，详细分析了当下代币化资产规模化落地面临的合规问题与对应的技术方案，推动可编程合规成为可编程、可审计、可更新、可跨机构协同的基础设施能力。

一、研究背景与现存挑战

近年来，分布式账本技术（DLT）在受监管金融业务中的应用热度大幅提升。金融机构、市场基础设施及公共部门项目正逐步探索代币化资产的发行、转让与结算。

然而，将合规目标与管控规则落地至可编程环境充满挑战。代币化资产系统大多基于分布式账本运行，会在全参与方之间自动、统一执行交易。机构需要将参与准入、允许交易的相关规则，编码为可跨多平台、多参与方运行的底层逻辑。

当前各类落地方案架构差异极大，且高度绑定特定平台、资产类型或机构合作模式。这一现状限制了合规校验在各类业务场景下的统一落地，跨系统、跨司法辖区资产流转时的互操作性难题尤为突出；同时催生大量重复开发工作 —— 机构需要为每一套平台重新搭建合规流程。此外，市场参与者无法可靠核验交易对手是否完成全套合规校验，校验结果也难以互信复用。

因此，GL1提出了一套架构，将政策定义、身份管理、合规校验、交易执行拆分为独立但协同运作的组件，再通过标准化的合规证明作为通用数据格式，不仅增加了合规方案落地的可行性与灵活性，更有助于跨平台、跨司法辖区建立统一合规标准。

二、现有可编程合规的技术路线

白皮书系统梳理了当前市场主流四类可编程合规落地路径，并分析了各自的局限，为GL1架构设计提供参照基准：

（1）链上管控+最小化数据泄露

- 解决方案：将合规逻辑部署在交易 / 代币层，原始合规数据留存链下、由机构自主管控

- 核心逻辑：仅将“是否允许转账”等合规结果在交易层强制执行，但决策所需的原始数据如客户KYC、制裁名单留存于机构的自有系统

（2）链下合规+可验证证明

- 解决方案：KYC 身份核验、制裁名单筛查、交易监控等合规校验在机构现有系统内完成，校验结果加密生成为可验证证明 / 凭证，附加至交易中，由程序自动判定。这一方式无需披露底层数据

- 代表项目：BIS曼陀罗项目（ProjectMandala），此前已完成可行性验证，目前由 BIS 创新中心新加坡中心牵头，联合七家央行—菲律宾央行、法兰西银行、马来西亚国家银行、科威特中央银行、澳洲联储、印度央行与 MAS进行实证评估

（3）可验证身份

- 解决方案：用加密可验证法人/自然人身份凭证，绑定链上钱包与现实主体，解决“谁在交易”的底层身份合规问题

- 代表项目：GLEIF vLEI、IDEMIA去中心化身份体系

（4）模块化可组合的合规引擎

- 核心逻辑：把合规功能拆分为独立组件，可面向不同参与方、交易场景自由组合，参与方涵盖发行方、中介机构、身份服务商、核验服务商、托管机构、基础设施运营方

- 代表项目：Chainlink ACE、RWA系列研究｜ERC-3643代币标准、合规特性与应用场景分析（T-REX）协议

三、GL1合规体系：STAR框架与核心组件

STAR 框架

白皮书提出STAR框架，将所有金融合规义务划分为四大互不重叠维度，从根源避免合规逻辑混杂：

- Status：参与者准入合规，含KYC、受益所有人、制裁筛查、合格投资者资质，对应身份管理模块；

- Transaction：交易行为合规，含交易限额、跨境走廊管控、旅行规则、对手方限制，对应策略包装器、策略管理器；

- Asset：资产生命周期行政干预，含资产冻结、强制赎回、暂停转账、司法资产追回，对应行政控制组件；

- Reporting：审计、监管上报留痕，依托合规证明（Compliance Attestation）标准化存证全流程校验结果。

该框架实现合规需求分类隔离，修改某一维度监管规则不会扰动其他维度底层逻辑，从架构层面解决智能合约合规代码难解耦的问题。

核心组件

1. 身份管理模块（Identity Management Module）

链上多钱包地址与现实法律实体的映射，解决单一主体多地址交易合规溯源难题。

该模块支持多层级落地：

- 基础版：完成合规校验的参与者地址白名单；

- 进阶版：通过凭证、加密证明、对接现有客户识别系统，将多钱包地址关联至同一实体； 同时兼容可信第三方签发凭证，涵盖 KYC、制裁筛查、实控人信息、合格投资者资质等合规属性。

该模块并不承担原始身份核验工作，而是制定采信身份凭证的信任标准、解析实体关联标识、支持主体资质凭证作废、过期、更新。GLEIF 的 vLEI 就是一个现实案例，可以为数字资产生态提供可信机构身份凭证。

2. 政策封装器（Policy Wrapper）

这一模块的实现借鉴了用途绑定货币（Purpose Bound Money，PBM） 理念，将底层资产与资产使用、转让限制进行了分层隔离：合规逻辑并不直接写入底层代币合约，而是通过封装器锁定底层基础代币，发行对应封装代币；全部的交易操作通过封装代币完成，底层基础代币一直锁定在封装器内。

PBM 由 ERC-7291 标准标准化，资产的使用、转让、赎回均受预设条件约束。这一方式不修改底层资产，而是通过封装机制绑定 “支付用途”，资产仅能在合规场景流通。其管控分为三个阶段，实现全生命周期的合规控制：

- 封装阶段：资产流通前绑定合规条件，仅允许受规则约束的封装代币流通；

- 流转阶段：封装代币可流通，但严格限定交易对手、使用场景；转让前执行合规校验，管控覆盖二级市场全交易；

- 解封装阶段：仅满足全部条件时，底层资产才可解锁；校验不通过则资产持续锁定，阻止不合规主体提取底层价值。

3. 政策管理器（Policy Manager）

该模块负责定义交易适用的全部合规规则，涵盖适用规则集、主体准入资质证明、交易限额、辖区约束、对手方要求、报送触发条件、多规则冲突优先级等。

政策管理器实现政策管理与交易执行解耦：封装器通过标准化接口发起校验请求，政策管理器通过合规规则引擎匹配对应政策、确定所需校验项；协同身份管理模块、外部合规服务商、其他组件获取校验输入与结果。

4. 行政控制模块（Administrative Control）

该模块提供底层代币资产直接干预能力。受监管场景下，机构可能因可疑交易、司法指令、运营故障、风险事件，需执行地址限制、资产冻结、资产追回、强制转让等应急处置。该模块直接作用于底层资产，是政策封装器之外的应急处置方案。

核心信息载体

交易信封（Transaction Envelope）：随交易流转的标准化结构化数据包，包含资产信息、交易要素、参与方数据包（Party Packets）

合规证明（Compliance Attestation）：交易执行时不可篡改的校验记录，记录该笔交易在对应政策版本、信任体系下的完整合规判定；凭证仅代表单次交易结果，不具备永久通用交易授权。其内容包括交易信封哈希值、综合判定结果、政策结果数组（记录了每项政策编号、判定结果、政策版本、校验时间戳、加密证明）

信息流转全流程如下:

1. 用户发起转账，政策封装层生成交易信封，记录核心交易信息：资产编号、交易金额、时间、参与方数据包。参与方数据包适配各类交易模式：机构对机构、机构对虚拟资产服务商（VASP）、服务商对机构、服务商对服务商；字段包含主体角色、钱包地址、所属辖区、前置校验凭证。初始仅写入最小主体标识，实现身份数据与交易执行分层隔离

2. 身份管理器解析信封内主体标识，补充身份属性、合规凭证，完成信封信息扩容

3. 完整交易信封推送至政策管理器，匹配交易适用政策

4. 政策管理器通过合规规则引擎完成限额、风险评分、对手方的校验

5. 汇总所有校验结果生成标准化合规证明回传到政策封装器

6. 封装器依据证明结论通过/拒绝交易

行政管控独立于常规转账链路，交易信封、合规证明可作为干预依据，但处置操作通过行政管控模块执行，不走封装代币流程。

四、GL1架构的风险与治理

白皮书并未回避以上架构的潜在风险：制裁名单数据更新滞后、主体身份信息同步延迟、跨辖区报送规则割裂、跨境业务法律不确定性等问题依然存在，并且该系统依赖于自动化决策、外部数据可信度、智能合约设计、行政干预机制、组件互操作性。

1. 智能合约风险

链上合规逻辑判定结果唯一、不可变更，虽保障一致性与可预测性，但缺乏规范授权的例外豁免机制时，无法适配合法、合理的特殊业务场景。 参数配置错误会产生技术合规但业务、法律层面存疑的判定。此外，代币结算具备终局性，异常交易完成后难以撤销补救。

2. 预言机依赖风险

可编程合规系统高度依赖外部数据源：制裁名单库、身份登记系统、市场行情、辖区风险指标。预言机作为外部系统与链上执行层的桥梁，预言机故障会直接导致交易不合规：制裁名单更新延迟、估值数据失真、身份服务宕机、外部数据篡改，造成内部逻辑无误但结果错误。

3. 隐私、不可篡改与数据披露冲突

可编程合规架构可能会放大隐私与数据治理风险：交易元数据、身份关联标识、合规凭证在共享、永久存储层可见。 传统金融体系客户、交易数据分散存储于各机构、中介、报送渠道；代币环境为实现可追溯、互操作、统一凭证，要求合规数据标准化、可复用。若个人敏感信息、身份关联记录永久绑定不可篡改交易记录，机构将难以满足保密、数据最小化、信息更正、数据删除等法定要求。目前虽然有零知识证明、选择性披露、加密索引等隐私增强技术可减少敏感信息直接暴露，但同步新增凭证管理、元数据关联、监管取证调取等依赖项。

4. 行政干预与治理集中风险

多数代币标准内置资产冻结、交易撤销、资金追回、司法指令执行等行政功能，在监管场景不可或缺，用于处理结算终局争议、制裁落地、欺诈补救、破产清算。 但该权限带来治理集中风险：行政密钥、豁免权限是高价值攻击目标，也存在内部人员滥用隐患。干预机制必须配套权限分离、多级审批、完整审计日志、异常升级、凭证留存规则。

5. 接口与协同失效风险

GL1 模型多组件交互时，组件接口故障会导致判定结果偏离政策初衷。典型场景：身份服务与交易引擎链路中断、跨辖区政策同步不一致、凭证格式错误、结算与合规校验时序错乱。架构需设置相关故障的处置流程，解决依赖项无法自动校验和产生错误的场景。

白皮书根据权责匹配原则为GL1可编程合规模型提供了以下治理模型，涵盖政策、信任依赖、交易执行、资产管控、独立审计五大维度：

总结

GL1《可编程合规》白皮书兼顾技术落地可行性与全球监管合规要求，以分层解耦、模块化、标准化合规证明为核心，通过STAR四维合规框架与五大模块化组件，提供了一套可落地、可审计、适配全球多元监管体系的通用合规架构，以解决代币化资产跨机构、跨辖区合规落地的核心痛点。

报告链接: https://global-layer-one.org/pdf/gl1-pc-whitepaper-22-jun-2026.pdf

Beosin作为全球最早一批从事形式化验证的区块链安全公司，主打”安全+合规“全生态业务，在全球10多个国家和地区设立了分部，业务涵盖项目上线前的代码安全审计、项目运行时的安全风险监控与阻断、被盗追回、虚拟资产反洗钱（AML）以及符合各地监管要求的合规评估等“一站式”区块链合规产品+安全服务。