Bybit完成SOC 2 Type II審計，德勤獨立執行

Bybit已完成SOC 2 Type II審計，確認其安全控制措施在一段期間內的實際運作成效。不過，審計期間、詳細控制項目及完整審計報告是否公開，目前尚未確認。

Bybit於29日發布公告表示，德勤(Deloitte)獨立執行此次審計。審計範圍涵蓋安全治理、技術架構、內部流程及人員職責等安全框架。

Bybit表示，此次審計可針對敏感資訊保護、服務可靠性，以及安全與風險管理機制提供獨立確認。公司並將SOC 2 Type II結果與先前取得的ISO/IEC 27001認證及PCI DSS合規驗證一併列為證明安全、資料保護及營運可靠性的資料。

SOC 2是以美國註冊會計師協會(AICPA)信任服務準則為基礎，用於評估資訊與系統在安全性、可用性、處理完整性、機密性及隱私保護方面控制措施的架構。實際適用範圍可能因組織及系統特性而異。

Type I確認特定時間點的控制設計與建置情況；Type II則檢查控制措施在既定審查期間內是否持續有效運作。因此，Type II審計不只確認控制措施是否存在，也會檢視其在一段期間內的實際運作狀態。

不過，各項認證與審計的目的及範圍不同。僅完成SOC 2 Type II，並不代表客戶資產安全或交易所整體營運風險已獲得保證。

客戶資產與準備金是否一比一持有、防範市場操縱，以及代幣上架與產品審查，也不會由SOC 2 Type II報告自動驗證。仍須另外確認審計報告涵蓋的服務範圍及控制項目。

此次公告也延續了Bybit在2025年2月發生約14億6000萬美元(約1兆9830億韓元)數位資產遭竊事件後擴大安全驗證的措施。Bybit表示，事件發生後已加強獨立審計及安全控制檢查。

Bybit在2026年上半年安全報告中表示，公司攔截超過3萬筆可疑提款請求，並防止超過7億美元(約9506億韓元)的潛在用戶損失。上述數據來自Bybit自行發布的報告。

但目前尚未確認2026年上半年安全報告中的攔截成果是否納入此次SOC 2 Type II審計範圍。自行發布的數據與獨立審計結果，在計算方式及確認範圍上可能存在差異。

針對此次公告，台灣交易所、機構投資人及監管機構目前尚未發布正式回應。審計涵蓋期間、詳細控制項目、例外事項及完整審計報告是否公開，也尚未對外說明。

要評估SOC 2 Type II的意義，仍須確認審計報告載明的服務範圍、審查期間、適用的信任服務準則，以及控制缺失與例外事項。報告評估範圍可能隨受審計服務及控制措施而有所不同。

此前Ethena的USDe營運相關SOC 2 Type II審計也區分了營運控制驗證，以及智慧合約與客戶資產風險審查。同樣地，Bybit此次完成審計應限縮解讀為對安全與營運控制的確認。

Bybit的2026年上半年安全報告提出可疑提款請求攔截及潛在用戶損失防止數據，但此次審計報告是否驗證上述數據，仍是另一項問題。審計結果的實際適用範圍，將取決於報告公開的服務範圍及審查期間。

目前已確認的公告內容包括審計完成及德勤擔任執行機構，但機構客戶是否將其用於盡職調查資料，尚未確認。完整報告及例外事項也尚未公開。