郭文贵刑事案 · ECF #207-1 · 中文译文

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

涉及 United States v Kwok, et al（美国诉郭文贵等人案），案号 23 CR 118 (SDNY)（纽约南区），关于客户依据第41(g)条请求返还其 Himalaya Exchange（喜马拉雅交易所）资金之诉讼

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

3.2 我们对HEX客户数据库中与受托事项相关之可用信息的理解 4 受托事项1：我们对交易所现行客户入驻流程与程序的理解

5 受托事项2：我们对HEX客户数据库中相关客户账户的审查

6 受托事项3：我们对相关客户样本的客户入驻信息及财务数据的详细审查 33

涉及 United States v Kwok, et al（美国诉郭文贵等人案），案号 23 CR 118 (SDNY)（纽约南区），关于客户依据第41(g)条请求返还其 Himalaya Exchange（喜马拉雅交易所）资金之诉讼

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

涉及 United States v Kwok, et al（美国诉郭文贵等人案），案号 23 CR 118 (SDNY)（纽约南区），关于客户依据第41(g)条请求返还其 Himalaya Exchange（喜马拉雅交易所）资金之诉讼

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

对HEX客户数据库进行的测试（客户账户样本1） 附录 5.1a 对HEX客户数据库下载数据进行的测试（客户账户样本2） 附录 5.1b 我们对HEX客户数据库中相关客户账户的审查 附录 5.2 对相关客户样本之客户入驻信息及财务数据进行的测试 附录 6.1

HID数据库中“风险评分”选项卡之摘录 附件 6.1

Mercantile Bank（商业银行）托管协议 附件 6.3

涉及 United States v Kwok, et al（美国诉郭文贵等人案），案号 23 CR 118 (SDNY)（纽约南区），关于客户依据第41(g)条请求返还其 Himalaya Exchange（喜马拉雅交易所）资金之诉讼

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

- 1.1.1 我们，Mazars LLP（“Mazars”），受 Candey Limited（“CANDEY”，即 Himalaya International Clearing Limited（喜马拉雅国际清算有限公司，下称“交易所”或“HEX”）的法律顾问）之委托。交易所系一家在英属维尔京群岛注册的公司，运营着一个用户对用户的中心化加密货币交易平台，供客户交易、存储和管理喜马拉雅加密货币，即 Himalaya Coin（“HCN”，喜币）和 Himalaya Dollar（“HDO”，喜美元）。 - 1.1.2 交易所及其关联公司的最终实益拥有人为 William Je（余建明先生，下称“余先生”），United States Department of Justice（DoJ，美国司法部）已在 Southern District of New York（纽约南区）对其（以及另外两名被告）提起刑事指控。在这些诉讼程序中被指控的事由除其他外包括，余先生通过交易所实施了一项欺诈计划。我们理解余先生否认了这些指控。 - 1.1.3 由于这些指控，我们理解交易所的某些资产已被美国司法部扣押，特别是交易所的HDO稳定币[4]储备[2]。 - 1.1.4 我们受托获悉： - (a) 2023年12月6日，交易所的3,539名客户依据《联邦刑事诉讼规则》第41(g)条提出动议，请求返还其被美国扣押的财产（下称“相关客户”及“客户诉讼”）[3]；以及 - (b) 2023年12月7日，美国司法部作出陈述，请求美国联邦地区法院驳回相关客户在客户诉讼中所寻求的救济。我们受托获悉，其理由之一是客户诉讼中的客户（被其称为“声称的客户”）并非真实客户，暗示客户诉讼本身纯属虚构。

1.2.1 Mazars Group（玛泽集团）是一家国际化、一体化且独立的组织，专门从事审计、咨询、会计和税务服务，在超过95个国家和地区设有分支机构，汇集了超过47,000名专业人员的专业知识。在英国，Mazars拥有约150名合伙人和超过2,500名员工。

1 我们理解，“稳定币”是一种价值与另一种资产类别挂钩的加密货币

3 在提起客户诉讼时，相关客户的最初人数为3,345人。我受托获悉，该人数此后已增至3,539人

涉及 United States v Kwok, et al（美国诉郭文贵等人案），案号 23 CR 118 (SDNY)（纽约南区），关于客户依据第41(g)条请求返还其 Himalaya Exchange（喜马拉雅交易所）资金之诉讼

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

国家和地区，依靠超过47,000名专业人士的专长开展工作。在英国，Mazars拥有约150名合伙人和2,500多名员工。

1.2.2 本报告由伦敦的危机与争议团队编制。我们经常在涉及欺诈指控、会计违规、洗钱和失实陈述、监管调查以及现金和资产追踪等任务中接受委托。我们曾代表监管机构和起诉机构（包括英国及海外）以及代表被告方开展工作。我们最近处理的案件包括受 Financial Conduct Authority（英国金融行为监管局）委托，涉及：(i) 对一家大型获授权集合投资基金倒闭事件的调查；以及 (ii) 其对一家英国上市公司股票终止上市的决定。

- 1.3.1 我们收到了一份载有每位相关客户信息的明细表（下称“客户诉讼明细表”）[4]。我们理解，相关客户在2021年4月23日至2023年8月22日期间（下称“相关期间”）在交易所开设了账户。 - 1.3.2 利用该客户诉讼明细表，我们受托开展以下工作： - (a) 对客户数据库（下称“HEX客户数据库”）进行实时且独立的审查，以确认并记录交易所现行的客户入驻流程与程序（下称“受托事项1”）； - (b) 核实客户诉讼明细表中所列的每位相关客户是否均在HEX客户数据库中拥有交易所账户（下称“受托事项2”）； - (c) 从客户诉讼明细表中确定并抽取相关客户的样本，以便： - (i) 核实“了解你的客户”（“KYC”）入驻信息的真实存在； - (ii) 针对该样本，将客户诉讼明细表中所载的财务数据与HEX客户数据库上的实时数据进行核对；以及

4 我们理解该明细表由交易所于2023年11月10日提供给相关客户的法律代表

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

- (iii) 针对该样本，将相关客户进行的赎回（在客户诉讼明细表中称为“赎回余额”）与交易所的银行对账单进行核对（下称“受托事项3”）；以及 - (d) 自行选择进行一次示范性入驻申请测试，包括但不限于针对 United States（US，美国）的测试（下称“受托事项4”）。

- 1.4.1 除在本报告中撰写审查结果外，我们的大部分工作均在交易所服务公司的营业场所[5]进行，我们于2023年12月14日和15日访问了该场所[6]。我们的委托事务律师 CANDEY 亦同时在场。我们在附录1.1中载列了与交易所及 CANDEY 的会面摘要。 - 1.4.2 客户诉讼明细表不包含相关客户的姓名。相反，客户是通过唯一的喜马拉雅账户号码（“HID”）进行识别的。我们受托获悉，我们审查的客户信息以及用作核对依据的基础KYC文件均属于保密信息，并受数据保护规定的约束。因此，尽管我们在HEX客户数据库上审查了未经涂黑的信息，但根据委托指示，在编制本报告时必须以隐去敏感信息的形式呈现。

- 1.5.1 本报告的其余部分结构如下： - (a) 在第2节中，我们载列了工作及审查结果的执行摘要； - (b) 在第3节中，我们对HEX客户数据库中的可用信息概述了我们的理解； - (c) 在第4节中，我们通过阐述对交易所现行客户入驻流程与程序的理解，回应受托事项1；

5 Hamilton Capital Holding（汉密尔顿资本控股）。为编制本报告之目的，或在法院出具保护令之前，我们被指示不得披露该服务公司的地址。

6 在工作过程中，我们对交易所服务公司的IT、法务和合规团队进行了访谈。基于数据保护和保护员工身份的考虑，根据委托指示，我们不得为本报告之目的披露这些个人的姓名。

Mazars LLP（玛泽有限责任合伙）之独立司法会计审查

- (d) 在第5节中，我们通过说明为确定HEX客户数据库中是否存在每位相关客户之账户而开展的工作，回应受托事项2； - (e) 在第6节中，我们通过说明为确认交易所持有的相关客户样本之入驻信息及财务数据而开展的工作，回应受托事项3；以及 - (f) 在第7节中，我们通过说明所开展的示范性客户入驻申请测试，回应受托事项4。

- 1.6.1 我们在附录 1.2 中列出了我们在编制本报告过程中所使用的信息和文件清单。

- 1.6.2 应当指出的是，我们完成的工作并不构成审计，且除本报告中明确载明的内容外，我们并未核实或以任何其他方式核对我们所审阅文件中载明的信息。除非明确受指示对基础文件的真实性发表意见，否则这是我们在处理此类性质事项时的标准做法。

- 1.6.3 我们编制本报告是针对向 US District Court（美国联邦地区法院）提起的 Customer Action（客户诉讼）。除向 CANDEY、Exchange（交易所）、Relevant Customers（相关客户）的法定代表人、DoJ（美国司法部）以及 United States District Court（美国联邦地区法院）提供外，本报告在各方面均属保密。未经我们事先书面同意，本报告不得用于任何其他目的，亦不得进行复制或传播。Mazars（玛泽）对于与本报告所涉事项有关的第三方及/或任何违反该义务的行为不承担任何责任。

- 1.6.4 本报告反映了我们对法律事项的理解，但不对其发表意见，因为该等事项并非由我们作出裁定。

- 1.6.1 我们并未受指示按照 English Civil Procedure Rules（英格兰民事诉讼规则）（特别是第 35 部分）、U.S. Federal Rules of Civil Procedure（美国联邦民事诉讼规则）以及 U.S. Federal Rules of Criminal Procedure（美国联邦刑事诉讼规则）来编制本报告，而上述规则分别适用于在英格兰和威尔士以及美国诉讼程序中出示的专家报告。尽管如此，我们已采纳适用于专家为此类目的编制报告的相关规程。就此而言：

- (a) 本报告中陈述的意见反映了我们基于向我们提供的证据所作出的独立意见；

- (b) 我们在编制本报告时已尽到合理的注意与技能，以确保准确与完整；以及

- (c) 我们确认，我们未达成任何使我们费用的金额或支付在任何程度上取决于本案结果的安排。

关于 United States v Kwok, et al 23 CR 118 (SDNY)（美国诉郭等人案，案号 23 CR 118（纽约南区））中有关要求归还其 Himalaya Exchange（喜马拉雅交易所）资金的 41(g) 客户诉讼事项

- 2.1.1 我们，Mazars，已接受交易所法律顾问 CANDEY 的指示。交易所及其关联公司的最终实益拥有人为 Je（余建明）先生，DoJ 已在 Southern District of New York（纽约南区）对其（连同另外两名被告）提起刑事指控。在该等诉讼程序中被指控称，除其他事项外，Je 先生通过交易所实施了一项欺诈计划。我们获悉，Je 先生否认了这些指控。

- 2.1.2 作为这些指控的后果，我们获悉交易所的某些资产已被 DoJ 查封/扣押，包括交易所的稳定币储备。

2.1.3 我们受指示得知：

- (a) 2023年12月6日，相关客户提起了客户诉讼（依据 Federal Rule of Criminal Procedure 41(g)（联邦刑事诉讼规则第 41(g) 条）提出的要求归还被美国查封/扣押财产的动议）；以及

- (b) 2023年12月7日，DoJ 作出陈述，请求美国联邦地区法院驳回相关客户在客户诉讼中寻求的救济。我们受指示得知，该陈述的依据除其他事项外，在于客户诉讼中的客户并非真实客户，其含义是指该客户诉讼本身即属虚构。

- 2.2.1 使用 Customer Action Schedule（客户诉讼明细表），我们受指示开展以下工作：

- (a) 对 HEX Customer Database（HEX 客户数据库）进行实时且独立的审阅，以确认并记录交易所现行的与客户入驻相关的流程和程序（“指示 1”）；

- (b) 核实客户诉讼明细表中包含的每位相关客户在 HEX 客户数据库中均拥有交易所账户（“指示 2”）；

- (c) 从客户诉讼明细表中确定并抽取相关客户的样本，以便：

- (i) 核实 KYC（了解你的客户）入驻信息的真实存在；

- (ii) 将客户诉讼明细表中包含的财务数据与 HEX 客户数据库中该样本的实时数据进行核对；以及

- (iii) 将相关客户进行的赎回（在客户诉讼明细表中表述为“赎回余额”）与该样本对应的交易所银行对账单进行核对（“指示 3”）；以及

- (d) 进行一次由所选对象构成的说明性入驻申请操作，包括但不限于美国（“指示 4”）。

- 2.3.1 除在本报告中书面记录我们的调查发现外，我们大部分工作是在交易所的服务公司场所进行的，我们于 2023年12月14日和15日访问了该场所。我们来自 CANDEY 的指示事务律师当时亦在场。在此期间，我们在交易所服务公司拥有相关系统访问权限的人员在我们及 CANDEY 的指导下，对 HEX 客户数据库进行了实时审阅。

- 2.3.2 我们的工作和调查发现摘要如下：

指示 1：我们对交易所现行的与客户入驻相关的流程和程序的理解

- 2.3.3 我们理解交易所的客户入驻包括四个关键阶段：

- (a) “阶段 1”：客户注册，客户据此提供包括姓名、出生日期、国籍和居住国在内的个人详细信息。我们理解交易所的政策为不允许居住在某些国家的个人在交易所开立账户。这些“受限制国家”包括美国；

- (b) “阶段 2”：客户身份识别、核验及筛查，该阶段要求客户：

- (i) 提供并验证其电子邮件地址和电话号码；

就此而言，我们受指示得知：(i) 受限制国家名单会定期接受审查，以确保交易所遵守全球监管合规要求；以及 (ii) 自交易所成立以来，美国一直被列入受限制国家名单中。

- (ii) 完成一份“KYC 调查问卷”，该问卷包含多道（8至16道问题）与客户个人详细信息、其资金来源及其加密货币交易经验水平等相关的多项选择题；以及

- (iii) 提交身份证明文件并完成某些身份核验检查。就此而言，交易所将客户身份证明文件的收集和核验外包给第三方 Jumio Corporation（Jumio 公司，下称“Jumio”）。Jumio 的服务包括 (i) 核验身份证明文件是否“真实且有效”；以及 (ii) 通过利用人工智能驱动的面部识别技术，将所提供的身份证明文件与客户拍摄的实时照片进行比对，以核验客户的身份。

除此之外，交易所还会对潜在客户进行筛查，以识别是否存在任何政治公众人物、受制裁人员或受负面媒体报道影响的人员。我们理解交易所使用第三方软件供应商“ComplyAdvantage”来执行该筛查流程；

- (c) “阶段 3”：客户风险评估，交易所将对所提供的信息进行评估，并为每位客户分配一个“风险评级”，该评级反映了交易所对入驻该客户相关风险的评估，并且是根据客户在 KYC 调查问卷中所提供的回答得出的；以及

- (d) “阶段 4”：客户接纳批准或上报升级，其中交易所合规团队对每位客户入驻流程的介入是由分配给该客户的风险评级触发的。

指示 2：我们对 HEX 客户数据库中相关客户账户的审阅

- 2.3.4 我们受指示核实每位相关客户在 HEX 客户数据库中均拥有交易所账户。基于我们对 HEX 客户数据库中所含信息的审阅，我们确定：

- (a) 对于每位相关客户，HEX 客户数据库中均存在相应账户；

- (b) 相关客户：

- (i) 包含 3,521 个个人账户和 18 个公司账户；以及

9 其为一个“人工智能驱动的身份核验平台”。http

- (ii) 全部为“第一级”（Tier 1）客户10；以及

- (c) 所有相关客户的账户均创建于 2021年4月23日至 2023年8月22日之间。

指示 3：我们对相关客户样本的客户入驻信息及财务数据的详细审阅

- 2.3.5 我们受指示从客户诉讼明细表中确定由我们选择的相关客户样本，并针对该样本：(i) 核实 KYC 入驻信息的真实存在；(ii) 将客户诉讼明细表中包含的财务数据与 HEX 客户数据库中的实时数据进行核对；以及 (iii) 将相关客户进行的赎回（根据客户诉讼明细表）与交易所的银行对账单进行核对。

- 2.3.6 对于构成我们样本组成部分的每个 HID，我们确定：

- (a) 关于交易所获取的 KYC 信息：

- (i) HEX 客户数据库中存在相应账户；

- (ii) 交易所持有身份证明文件的副本，且已被 Jumio 核验为“真实”；以及

- (iii) Jumio 开展了面部识别测试，正如文后第 4.2.11 段所述，其目的在于确认持有该身份证明的人员 (i) 与身份证明照片中显示的为同一人；且 (ii) 在入驻流程中亲自在场；以及

- (b) 关于该等客户的财务信息：

- (i) HEX 客户数据库中的 HCN 余额和 HDO 余额与客户诉讼明细表 12 中记载的金额相符；

10 基于我们对交易所政策的理解，这反映了已作为交易所客户入驻的客户，意味着：(i) 客户已在交易所创建账户；(ii) 客户已核验其联系方式；(iii) 交易所已根据其客户接纳程序核验了其身份；以及 (iv) 客户已根据其提供的信息获得自动批准，或在升级上报至合规人员后已获得手动批准

12 截至编制客户诉讼明细表之日。正如文后第 6 节进一步解释的那样，我们核对客户诉讼明细表中财务数据的工作是针对一个“实时”数据库进行的。鉴于在客户诉讼提起之日（我们受指示获悉为 2023年11月10日）与我们开展工作之日（即 2023年12月15日）之间，HCN 和 HDO 余额存在持续进行的交易活动，对于某些客户账户而言，存在调节对账项目。这在文后第 6 节中进一步解释

- (ii) HEX 客户数据库中的总存款额和总赎回额与客户诉讼明细表中记载的金额相符；以及

- (iii) HEX 客户数据库（及客户诉讼明细表）中的总赎回额与提供给我们的交易所银行对账单相符。

- 2.3.7 我们受托针对所选的任何司法管辖区（包括但不限于美国）进行示范性入驻申请。我们针对所开展的两项示范性客户注册和入驻测试的调查结果，与我们对该交易所客户注册政策的理解一致。具体而言： - (a) 一项示范性客户入驻测试因客户的国籍和/或居住国为美国，而不允许在该交易所创建账户或进入入驻流程的下一阶段；且 - (b) 一项示范性客户入驻测试允许在该交易所创建账户，但由于客户注册表单上的姓名与所提供的身份证明文件不一致，而不允许进入入驻流程的下一阶段。

Mazars LLP（玛泽有限责任合伙）独立法证审查报告

- 3.1.1 HEX 客户数据库是有关该交易所客户的“后台”13数据汇集。其包含的记录尤其包括： - (a) 各客户持有的虚拟资产；

- (c) 客户的个人信息，包括对各客户执行的 KYC（了解你的客户）程序记录。

- 3.1.2 如上文第 1.4 节所述，为了执行我们的受托工作，我们于 2023 年 12 月 14 日及 15 日与 CANDEY（坎迪律师事务所）的代表一同造访了该交易所服务公司的办公场所。在此期间，我们对 HEX 客户数据库进行了实时审查，以便为我们执行受托工作提供必要的背景信息。此项审查是在我们及 CANDEY 的指导下，由拥有相关系统访问权限的该交易所服务公司人员操作进行的。本节所列信息即基于该实时审查。

- 3.1.3 在本节中，我们将概述我们对 HEX 客户数据库14上可用信息的理解。 3.2 我们对 HEX 客户数据库上与我们受托工作相关的可用信息的理解

3.2.1 我们在下文图 3.1 中列出了 HEX 客户数据库“仪表板”（“HEX 客户数据库仪表板”）15的摘录。我们理解，该交易所服务公司的人员通常将其称为“管理员控制面板”。

10 指客户无法直接访问，而是交易所内部获得该信息访问权限的特定人员方可访问的信息

14 重要提示：我们并未受托（因此也未试图）考量 HEX 客户数据库的完整性或运营有效性。因此，任何关于 HEX 客户数据库如何运行的表述，均基于我们在工作过程中观察到的信息

15 HEX 客户数据库的所有摘录均在证据 3.1 中提供

所有这些都是您的交易所管理员控制面板，您可以在其中查看详细内容，例如交易所的活动、用户余额、正在进行的交易等。此外，您将能够从此处修改交易所的有限功能，例如文本内容。下方的快捷链接及更多内容是关于每个链接可为您提供何种功能的简要说明。 Users 这将允许您查看交易所上的用户数量及其详细信息，从查看电子邮件地址到启用/禁用用户。您还将能够看到每个用户持有的加密货币及其数量。 Transactions 交易提要使您能够查看所有正在进行和已完成/失败的交易。交易和失败的交易可以在此处查看，以及它们的进度和提现。 Markets 此部分概述了您交易所上正在进行的交易对及其完整订单簿。 Coins 这使您可以查看交易所上可用的不同加密货币及其状态——查看交易、充值和提现的处理情况。Coins - Deposit Addresses 和 Coins - Withdrawal Addresses 向您显示用于每种加密货币的地址及其状态。 Settings 设置将允许您查看用户，以及编辑用于访问它们的域名。此外，通过鼠标点击，您还可以设置电子邮件模板、时间、社交登录和其他常规操作。 Utilities 实用工具 - 促销管理将允许您修改交易所前端的文本。“KEY”字段将向您显示默认值，除非您进行了修改，否则将显示该默认值。添加您自己的行，点击带有调用按钮的“Save”（如下所示）。从这里，HTML 概览将 Admins 此部分将允许您管理谁有权访问管理员控制面板以及具有何种控制级别。所有与管理员人员相关的设置只能在此处修改。

- 3.2.2 如图 3.1 所示，HEX 客户数据库仪表板中具有多项功能（尤其包括查看“Transactions”（交易）、“Markets”（市场）和“Coins”（币种）的能力）。与我们的受托工作特别相关的是“Users”（用户）功能，如 HEX 客户数据库仪表板所述，该功能“将允许您查看交易所上的用户数量及其详细信息，从用户名、电子邮件地址到漏洞利用尝试。User - > Balances 将允许您查看每个用户持有的加密货币及其数量”17。

- 3.2.3 我们将其称为“用户页面”。

3.2.4 我们在下文图 3.2 中列出了用户页面的摘录。

User NameRegistered DateStatusRoleTeamLocation

User Name Registered Date Status Role Team Location Registered Date is between and

User Name Registered Date Status Role Team Location

- 3.2.5 从上文图 3.2 可以看出，用户页面提供了搜索 HEX 客户数据库的若干标准（尤其包括 HID、客户姓名、账户创建日期）。

- 3.2.6 我们在下文图 3.3 中列出了用户页面上针对每个 HID 所提供的信息类型的示例。

关于 United States v Kwok, et al（美国诉郭文贵等案），案号 23 CR 118（SDNY，纽约南区），涉及客户依据第 41(g) 条要求归还其 Himalaya Exchange（喜马拉雅交易所）资金的诉讼

图 3.3：用户页面上针对每个 HID 所提供的信息类型示例19

( 19 8 8 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 -- RAAm I have with 2014 1/2 . Boal it . Boad it . Chery and it

> lession == [0] [ + ] ( + ] ( ) [ ( ) [ ] ( ) = ) = ( = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = 100

Colledil L = 0 (B) Controllin for the religion was in 1 THE PETER PATERIAL PRODUCTS AND THE POLICE PE PERSELLE PROPERTY PROPERTY PRO PASSE PROFESSION PROPERTIERS, PASSE PL 10 gr いつけていたとことです。というときになるときになると

- 3.2.7 如上文图 3.3 所示，当在用户页面中输入 HID 时，它会提供该客户的汇总概览。具体而言，它列出了： - (a) 与该 HID 相关的账户“Type”（类型）。我们理解账户可以是： - (i) “personal”（个人），指客户为自然人，并将账户用于个人目的；或 - (ii) “corporate”（企业），指账户代表企业实体使用。

我们就受托工作的目的理解，这些类型账户之间的关键区别在于该交易所针对这些客户执行的入驻程序；

- (b) 客户姓名； - (c) 账户创建日期（如“Created”列所示）。我们理解该交易所网站自 2021 年 4 月起开始接受客户； - (d) 有关账户状态的信息，例如是否为“Enabled”（已启用）、“Approved”（已批准）、“Locked”（已锁定）或“Deleted”（已删除）； - (e) 有关账户活动的高级概要信息，例如客户是否已充值资金、交易 HCN 或 HDO 或提现资金（分别如“Deposit”、“Trade”和“Withdraw”列所示）； - (f) 客户的沟通偏好（例如他们是否同意通过“Online”（在线）、“Newsletter”（通讯简报）或“SMS”（短信）进行沟通）；

- (g) 账户在该交易所支付应用程序“Hpay”20方面的权限；以及 - (h) 该交易所执行的客户准入程序的结果，包括： - (i) 客户的“Risk Rating”（风险评级）；我们理解风险评级反映了该交易所对入驻该客户相关风险的评估，分为“low”（低）、“medium”（中）、“high”（高）或“ultra-high”（极高）。风险评级源自“Risk Score”（风险评分），该评分是根据客户对调查问卷（“KYC 调查问卷”21）的回答计算得出的。我们在下文第 4 节中提供了对该交易所风险评估流程的更详细说明；以及 - (ii) 客户的“Tier”（层级）：我们理解客户分类有三个不同的“层级”22，反映了客户准入程序的状态。其中包括： - · 尚未分配层级的客户。这些是已注册创建该交易所账户但尚未验证其联系方式的客户； - · Tier 0（0 级）客户：这些是已注册创建该交易所账户并已验证其联系方式（包括电子邮件地址和电话号码），但尚未完成客户准入程序的客户。在现阶段，这些不是“活跃”账户23；以及 - Tier 1（1 级）客户：这些是已成功入驻为该交易所客户的用户，即 (i) 客户已在该交易所创建账户；(ii) 客户已验证其联系方式；(iii) 该交易所已根据其客户准入程序验证了其身份（其进一步详情见下文第 4 节）；且 (iv) 客户已

20 我获告知，Hpay 尤其允许客户：(i) 向其他交易所客户进行点对点转账；以及 (ii) 为该交易所批准的商户购买 HDO/HCN 礼品卡

21 KYC 调查问卷的进一步详情载于下文第 4.2.8 段及后续段落

22 我们理解该交易所正考虑在未来实施一个额外的层级，即“Tier 2”（2 级）

23 意指客户无法充值或赎回资金，亦无法交易 HCN 或 HDO

根据其提供的信息获得自动批准，或者在移交合规人员处理后已获得人工批准。

我们理解，相关客户（Relevant Customers）仅包括第一级（Tier 1）客户。

- 3.2.8 点击「用户名 / HID（User Name / HID）」一栏中的 HID，可查阅关于该客户的进一步信息，系统将为每位客户生成一个仪表板（即「HID 仪表板 / HID Dashboard」）。 - 3.2.9 HID 仪表板包含若干标签页，用于对有关每位客户的可用信息进行分类。与我们的指示特别相关的标签页包括： - (a)「个人资料（Profile）」：包括关于该客户的进一步信息，除其他事项外，还包括其姓名、出生日期、联系方式、国籍、居住国、身份证件号码； - (b)「充值（Deposits）」：列出该客户进行的充值详情，除其他事项外，包括 (i) 充值日期与时间；(ii) 充值金额；(iii) 交易所（Exchange）授权该笔充值24的个人；以及 (iv) 就该笔充值应向交易所支付的任何费用； - (c)「提现（Withdrawals）」：列出该客户进行的提现25详情，除其他事项外，包括 (i) 客户请求提现的日期与时间；(ii) 提现金额；以及 (iii) 就该笔提现应向交易所支付的任何费用；以及 - (d)「风险评分（Risk Scoring）」：列出该客户的风险评分（如上文第 3.2.7(h) 段所载）、客户填写的 KYC（了解你的客户）问卷，以及交易所合规团队就该客户准入决策所作的批注。 - 3.2.10 我们在下文图 3.4 至图 3.7 中列出了一个示例 HID26 的上述四个标签页的各自摘录。

24 我们理解，向交易所进行的每笔充值均须经过两步授权程序，即充值须经两名个人授权后资金方可被接受。

25「提现（Withdrawals）」与赎回（redemptions）同义。

26 如上文第 1.4 节所述，我们获指示，我们所审阅的客户信息属于保密信息。因此，尽管我们审阅了 HEX 客户数据库（HEX Customer Database）中未经涂黑的信息，但我们获指示在本报告中必须将其涂黑。图 3.7 中的信息因此已被涂黑。

关于 United States v Kwok, et al（美国 诉 郭文贵 等案）23 CR 118（SDNY / 纽约南区）中客户依据《联邦刑事诉讼规则》第 41(g) 条要求退还其 Himalaya Exchange（喜马拉雅交易所）资金之诉案

Mazars LLP（玛泽有限责任合伙）的独立法务法证审查

图 3.4：HID 仪表板「个人资料」标签页所载信息示例27

图 3.5：HID 仪表板「充值」标签页所载信息示例28

图 3.6：HID 仪表板「提现」标签页所载信息示例29, 30 * 2011年 [2] 2010 [2019/10/2019 12:11:13:10 [1] [1] 17/11/2017 [1] 14:14/2017 11/10/20 10/10/2019 10/11/2017 10/11/2017 10/1

来自车站的输入数字 儿童加州相机相机儿童评论

地区土地统计土地 查尔斯·桑内尔·M 已添加

29 为本示例选取的客户在截至我们完成工作之日尚未进行过任何提现。

关于 United States v Kwok, et al（美国 诉 郭文贵 等案）23 CR 118（SDNY / 纽约南区）中客户依据第 41(g) 条要求退还其 Himalaya Exchange（喜马拉雅交易所）资金之诉案

Mazars LLP（玛泽有限责任合伙）的独立法务法证审查

图 3.7：HID 仪表板「风险评分」标签页所载信息示例31

文件 菜单 信息 查看 报告 管理 设置与翻译 分析 申请页面 风险评分 政策评分管理

Mazars LLP（玛泽有限责任合伙）的独立法务法证审查 4 指示 1：我们对交易所现行客户入驻（onboarding）流程及规程的理解

- 4.1.1 除对 HEX 客户数据库进行审阅外，我们还参照交易所与相关期间（Relevant Period）有关的书面文件，力求确认交易所在客户入驻方面的现行流程。就此而言，我们收到了一份日期为 2022年6月、题为「客户入驻与合规流程演示」（即「入驻流程文件 / Onboarding Process Document」）的演示文稿32, 33。 - 4.1.2 基于该入驻流程文件34，我们理解交易所的客户入驻包括四个关键阶段： - (a)「第 1 阶段」：客户注册； - (b)「第 2 阶段」：客户身份识别、核实与筛查；

- (d)「第 4 阶段」：客户准入批准或升级呈报。

我们在第 4.2 节中详细阐述上述各个关键阶段。

4.2.1 为在交易所注册，新客户必须首先访问交易所网站35并选择「注册（Register）」标签页。我们在下文图 4.1 中列出了客户作为该注册流程一部分必须提供的信息摘录（即「关键注册信息 / Key Registration Information」）：

33 我们获指示，交易所的合规政策正式记录在《合规手册》（Compliance Manual）中。由于我们的指示范围所限，该手册未为本报告之目的提供给我们。

34 我们获指示，该入驻流程文件系为申请监管牌照之目的而编制，并基于《合规手册》以及相关期间现行的交易所政策和规程。35 网址为 http

Mazars LLP（玛泽有限责任合伙）的独立法务法证审查 HIMALAYA EXCHANGE（喜马拉雅交易所） 支持 登录 注册 中文

- 4.2.2 重要的是，与国籍和居住国相关的问题为多选题（并由客户参照下拉列表填写）。我们理解，客户的居住国与交易所作出的客户准入决策特别相关，且交易所的政策是不接受居住在特定国家（例如包括美国在内）（即「受限国家 / Restricted Countries」）的客户37。受限国家未包含在上述下拉列表中，这意味着居住国为受限国家的个人将无法在交易所注册账户。 - 4.2.3 客户提供其关键注册信息后，将被要求在交易所的安全在线门户上回答三个个人安全问题。设置这些安全问题的目的是「为身份验证流程增添一层额外的客户保护」38。

36 如图 4.1 所示，分别有针对「个人（Individuals）」（亦称「个人（personal）」账户）和「企业（Corporates）」的独立注册页面。基于我们在此事项上的工作，我们理解超过 99% 的相关客户为个人，因此我们未考虑针对企业的客户入驻流程。

37 就此而言，我们获指示 (i) 会定期审查受限国家名单，以确保交易所遵守全球监管要求；以及 (ii) 自交易所成立以来，美国一直被列入受限国家名单。38 证物 4.1，幻灯片 3

关于 United States v Kwok, et al（美国 诉 郭文贵 等案）23 CR 118（SDNY / 纽约南区）中客户依据第 41(g) 条要求退还其 Himalaya Exchange（喜马拉雅交易所）资金之诉案

Mazars LLP（玛泽有限责任合伙）的独立法务法证审查

- 4.2.4 客户入驻流程中的第二个关键阶段在交易所的《入驻流程文件》中被称为「身份识别、核实与筛查（Identification, Verification and Screening）」。该阶段要求客户： - (a) 提供并核实其电子邮箱地址和电话号码； - (b) 填写 KYC 问卷，该问卷包含除其他事项外涉及客户个人详情、资金来源及其加密货币交易经验水平的大量多选题；以及 - (c) 提交身份证件（即「身份证件 / ID Document」）并完成特定身份核实审查。 - 4.2.5 我们将在下文依次提供关于上述每项要求的进一步详情。

- 4.2.6 为推进客户入职流程，客户须通过交易所（Exchange）的安全在线门户提供并验证其电子邮件地址和电话号码。关于以下内容的验证： - (a) 客户激活发送至其电子邮件地址的验证链接后，即完成其电子邮件地址的验证；以及 - (b) 客户输入通过短信发送给其的 6 位数验证码后，即完成其电话号码的验证。 - 4.2.7 此外，客户须确认其非美国、日本居民，非加拿大公民或居民，亦非任何其他其法律禁止持有或使用加密货币的司法管辖区的公民或居民。

4.2.8 我们在下文图 4.2 中列出了 KYC 问卷中所包含问题的示例：

关于美国诉 Kwok 等人案（United States v Kwok, et al），案号 23 CR 118 (SDNY（纽约南区）)，涉及要求返还其喜马拉雅交易所资金的 41(g) 条客户诉讼

Mazars LLP（玛泽有限责任合伙）的独立法证审查

请告诉我们您当前的就业状况。 请告诉我们您的职业或商业活动。 请告诉我们除您的税务登记地所在国之外，您可能在其他国家开展的业务？ 您的个人活动或业务是否在优惠税区（例如自由经济区、离岸管辖区）注册或开展？ 请告诉我们您以现金处理的个人或商业活动的年营业额。 请告诉我们您以加密货币处理的个人或商业活动的年营业额。 请告诉我们您的收入资金来源。如有必要，可勾选多个选项。 请告诉我们您的财富来源？如有必要，可勾选多个选项。 请选择您计划使用的服务。如有必要，可勾选多个选项。 您计划每年存入多少资金（美元和加密货币合计）？ 请告诉我们资金将从哪些国家接收和/或转出。 请告诉我们您在加密货币交易方面的经验水平？请选择一项： 您有多少年的加密货币交易经验？ 您、您的直系亲属或密切关系人是否在任何国家或国际机构被赋予或曾被赋予显赫的公职？这可以是国内或海外的公职、政府职务、监管职务或高级军职。

4.2.9 为完成 KYC 问卷，客户必须回答所有问题。根据客户对 KYC 问卷的回答，交易所会计算每位客户的风险评分（Risk Score），下文第 4.2.13 段及后续段落对此进行了更详细的描述。

- 4.2.10 我们获悉，交易所将客户身份证明文件（ID Documents）的收集和核验外包给了 Jumio。Jumio 是一个“人工智能驱动的身份核验平台”40，该平台“利用人工智能、机器学习和生物识别技术实现核验流程自动化，帮助企业提高转化率、遵守反洗钱（AML）和 KYC 法规并更好地检测欺诈行为——同时在数秒内给出明确的是/否决定”41。 - 4.2.11 我们获悉，作为客户身份证明予以接受的身份证明文件包括护照、驾照或身份证。Jumio 随后核验 42：

- (b) 使用人工智能（“AI”）驱动的人脸识别技术，通过将提供的身份证明文件与客户拍摄的实时照片进行比对，核验客户的身份。这包括确认“持证人[与]身份证件照片中显示的人为同一人”，以及“持证人[在]交易过程中亲自在场”。 - 4.2.12 此外，交易所还代表交易所对潜在客户进行筛查，以识别是否属于政治公众人物（“PEP”）、受到制裁或存在负面媒体报道的任何个人。我们获悉，交易所使用第三方软件提供商“ComplyAdvantage”来开展此项筛查流程。

4.2.13 在完成阶段 1 和阶段 2 后，交易所将评估所提供的信息，并为每位客户指定一个风险评级（Risk Rating），如上文第 3.2 节所述，该评级反映了交易所对接纳该客户入职相关风险的评估，且由客户的风险评分衍生而来。

- 4.2.14 风险评分是一个介于 0 到 99 之间的数字，反映了交易所感知到的接纳某位客户的风险。风险评分越高，交易所感知到的接纳该客户入职的风险就越高。 - 4.2.15 客户在 KYC 问卷中提供的每个回答都会根据交易所制定的风险模型被赋予一个风险评分。我们在下文图 4.3 中列出了交易所风险模型所涉及考量因素的概述。

关于美国诉 Kwok 等人案（United States v Kwok, et al），案号 23 CR 118 (SDNY（纽约南区）)，涉及要求返还其喜马拉雅交易所资金的 41(g) 条客户诉讼

Mazars LLP（玛泽有限责任合伙）的独立法证审查

- 4.2.16 风险评级分为“低”、“中”、“高”或“极高”，与风险评分的对应关系如下： - (a) 若客户的风险评分在 0 至 30 之间，则风险评级为“低”（“低风险”）； - (b) 若客户的风险评分在 31 至 59 之间，则风险评级为“中”（“中风险”）； - (c) 若客户的风险评分在 60 至 75 之间，则风险评级为“高”（“高风险”）；以及 - (d) 若客户的风险评分在 76 至 99 之间，则风险评级为“极高”（“极高风险”）。

- 4.2.17 交易所合规团队对每位客户入职流程的介入程度主要由分配给该客户的风险评级决定，其中： - (a) 若客户属于高风险或极高风险，合规团队须人工审查该客户的申请并予以接纳或拒绝；以及 - (b) 若客户属于低风险或中风险，合规团队不一定须人工审查该客户的申请，但若发现合规问题，或作为交易所质量控制程序及持续合规监控的一部分，合规团队可以进行人工审查。 - 4.2.18 我们在下文图 4.4 中更详细地列出了交易所的批准或上报流程。

关于美国诉 Kwok 等人案（United States v Kwok, et al），案号 23 CR 118 (SDNY（纽约南区）)，涉及要求返还其喜马拉雅交易所资金的 41(g) 条客户诉讼

Mazars LLP（玛泽有限责任合伙）的独立法证审查

关于美国诉 Kwok 等人案（United States v Kwok, et al），案号 23 CR 118 (SDNY（纽约南区）)，涉及要求返还其喜马拉雅交易所资金的 41(g) 条客户诉讼

Mazars LLP（玛泽有限责任合伙）的独立法证审查 5 指示 2：我们对 HEX 客户数据库中相关客户账户的审查

- 5.1.1 如上文第 1.3 节所述，我们获指示确认 HEX 客户数据库中是否存在每位相关客户的账户。 - 5.1.2 我们执行该指示的方法是在 HEX 客户数据库中搜索客户诉讼明细表（Customer Action Schedule）中列出的 HID（如上文第 1.4 节所述，HID 是分配给每个客户账户的唯代码）。在此过程中，我们： - (a) 获取了 HEX 客户数据库中包含的某些信息的提取件165（“HEX 客户数据库下载件”）。我们在第 5.2 节中解释了我们获取 HEX 客户数据库下载件的过程以及为审查该文件的准确性所开展的工作；以及 - (b) 确认了 HEX 客户数据库下载件上与相关客户对应的账户。我们在第 5.3 节中列出了我们的工作成果。

- 5.2.1 如上文第 3.2 节所述，用户页面（User Page）提供了多项可据以搜索 HEX 客户数据库的标准，其中包括但不限于 HID、客户姓名、账户类型 46、客户层级（Tier）以及账户创建日期。 - 5.2.2 使用用户页面，可以从 HEX 客户数据库中提取信息并将其下载为 Excel47 文件。 - 5.2.3 生成 HEX 客户数据库下载件的过程如下 48：

46 特别是用户页面中提供的与交易所归类为“第 1 层级”的所有客户有关的信息 46 为“个人”或“企业”

47 Excel 是微软公司（Microsoft）的一款电子表格程序，使用户能够对电子表格中的数据进行格式化、整理和计算 48 如上文所述，我们在这方面的工作是由在我们和 CANDEY 的指导下具有相关系统访问权限的交易所人员开展的。我们对该任务的工作进行了指导和观察

- (a) 步骤 1：我们试图获取 HEX 客户数据库中所有归类为“第 1 层级”的客户账户的提取件（即仅在用户页面的搜索标准中应用该筛选条件）49。这生成了 21,005 个账户的摘要信息； - (b) 步骤 2：为了从 HEX 客户数据库中提取此摘要信息，有必要将数据划分为较小的部分 50。我们根据特定时间段对数据进行了进一步筛选（即在筛选条件中应用账户创建日期的具体日期）。这些时间段为 51, 52： - (i) 自交易所成立之日 53 起至 2021 年 4 月 28 日。这生成了 3,395 个账户的摘要信息； - (ii) 自 2021 年 4 月 28 日至 2021 年 5 月 6 日。这生成了 2,989 个账户的摘要信息； - (iii) 自 2021 年 5 月 6 日至 2021 年 6 月 30 日。这生成了 3,159 个账户的摘要信息； - (iv) 自 2021 年 6 月 30 日至 2021 年 11 月 7 日。这生成了 3,253 个账户的摘要信息； - (v) 自 2021 年 11 月 7 日至 2021 年 11 月 30 日。这生成了 2,095 个账户的摘要信息； - (vi) 自 2021 年 11 月 30 日至 2022 年 3 月 31 日。这生成了 2,821 个账户的摘要信息；以及 - (vii) 自 2022 年 3 月 31 日至 2023 年 12 月 15 日（我们完成工作的日期）。这生成了 3,293 个账户的摘要信息； - (c) 步骤 3：按照上述时间段下载数据后，我们将上述步骤 2 中描述的所有数据（即 HEX 客户数据库中归类为“第 1 层级”的所有客户账户）合并到一个电子表格中；以及

49 我们从与交易所人员的交谈中了解到，所有相关客户均为“第 1 层级”客户。我们在工作过程中试图对此予以核实——见下文第 5.3 节

50 由于 HEX 客户数据库无法支持提取与交易所所有“第 1 层级”客户相关的数据量

52 为确认我们没有因将数据筛选至特定时间段而“重复计算”任何天数，我们力求核对 (i) 每个时间段所获取信息的账户数量（即上述 (i) 至 (vii) 项的总和，相当于 21,005 个账户）；与 (ii) HEX 客户数据库中的 1 级（Tier 1）账户总数（同样相当于 21,005 个账户）。

53 这是通过不在“创建起始日期”（Created Date From）筛选器中应用日期来实现的。

- (d) 步骤 4：使用 Excel 分析功能 54，我们力求将《客户诉讼附表》（Customer Action Schedule）中的 HID 与《HEX 客户数据库下载文件》（HEX Customer Database Download）中的 HID 进行匹配。我们在第 5.3 节总结了我们在这方面的调查结果。

- 5.2.4 为确认我们处理本项指示的方法是恰当的，我们对相关客户（Relevant Customers）中的 250 个样本 HID 进行了人工核对。这涉及观察交易所服务公司的人员（其拥有相关系统访问权限）在我们和 CANDEY 的指导下一次输入一个 HID，并确认该 HID 存在对应的账户（通过直接在 HEX 客户数据库上查看）。

- 5.2.5 HID 样本由我们自行选择，并在开展工作时首次提供给交易所服务公司的人员，包括 55： - (a) 《客户诉讼附表》中的前 150 个 HID（“客户账户样本 1”）。我们最初计划对《客户诉讼附表》中包含的所有 HID 均执行此人工流程。然而，我们发现我们将无法在可用时间内完成工作。因此，我们询问了处理指示的其他方法，从而促使我们获取了《HEX 客户数据库下载文件》（如上所述）。

对于客户账户样本 1，我们观察了交易所服务公司的人员在我们和 CANDEY 的指导下一次向 HEX 客户数据库中输入一个 HID，以确认 HEX 客户数据库中存在该 HID 的账户。我们在附录 5.1a 中列出了此项样本测试的结果；以及

(b) 《客户诉讼附表》中包含的另外 100 个 HID 的样本（“客户账户样本 2”）。为了选择该 HID 样本，我们采用了使用系统抽样的非统计抽样方法，通过选取《客户诉讼附表》中每隔 34 个 HID 编号（排除前 150 项）来进行样本测试。

对于客户账户样本 2，我们观察了交易所服务公司的人员在我们和 CANDEY 的指导下一次向 HEX 客户数据库中输入一个 HID，以确认 (i) 该 HID 在

54 具体而言，Excel 功能“VLOOKUP”是数据分析中常用的搜索函数，可在电子表格中纵向识别并匹配特定数据。

55 就目前而言，我们总共测试了 250 个 HID 的样本。若法院要求测试更广泛的样本，我们可以扩大测试范围。

涉及 United States v Kwok, et al（美国诉郭文贵等案），案号 23 CR 118 (SDNY)（纽约南区联邦地区法院），关于要求返还其 Himalaya Exchange（喜马拉雅交易所）资金的 41(g) 客户诉讼

Mazars LLP（玛泽有限责任合伙）独立法证审查

HEX 客户数据库中存在账户；以及 (ii) 《HEX 客户数据库下载文件》中的详细信息与 HEX 客户数据库中的信息相符 56。我们在附录 5.1b 中列出了此项样本测试的结果。

5.2.6 在我们的样本中，我们未发现《HEX 客户数据库下载文件》上的信息与“人工”获取的信息（通过在“用户页面”中一次搜索一个 HID）之间存在任何差异。

- 5.3.1 利用《HEX 客户数据库下载文件》，我们力求确认： - (a) HEX 客户数据库中是否存在每位相关客户的账户； - (b) 该账户是“个人”账户还是“公司”账户；

- (d) 其账户创建的日期。

- 5.3.2 我们在附录 5.2 中列出了我们在这方面的工作结果。总而言之，基于我们对 HEX 客户数据库中包含信息的审查，我们确认： - (a) 对于每位相关客户，HEX 客户数据库中均存在一个账户； - (b) 相关客户： - (i) 包括 3,521 个个人账户和 18 个公司账户；且

- (c) 所有相关客户的账户均创建于 2021 年 4 月 23 日至 2023 年 8 月 22 日之间。

56 特别是客户姓名、账户类型和客户“级别”。

57 如上文第 3.2 节所述，HEX 客户数据库中的每位客户均参考其进行的客户入职阶段进行分类。

涉及 United States v Kwok, et al（美国诉郭文贵等案），案号 23 CR 118 (SDNY)（纽约南区联邦地区法院），关于要求返还其 Himalaya Exchange（喜马拉雅交易所）资金的 41(g) 客户诉讼

Mazars LLP（玛泽有限责任合伙）独立法证审查

6 指示 3：我们对相关客户样本的客户入职信息和财务数据的详细审查

6.1.1 如上文第 1.3 节所述，我们获指示从《客户诉讼附表》中识别并抽样分离出一组相关客户样本，并针对该样本：

- (a) 核实是否存在 KYC（了解你的客户）入职信息； - (b) 将《客户诉讼附表》中包含的财务数据与 HEX 客户数据库上的实时数据进行核对；以及 - (c) 将相关客户进行的赎回与交易所的银行对账单进行核对。

- 6.1.2 在本节中，我们列出： - (a) 我们用于选取待审查客户样本的方法（第 6.2 节）；以及 - (b) 我们针对相关客户样本的客户入职信息和财务数据执行的程序（第 6.3 节）。

- 6.2.1 就目前而言，我们总共测试了 50 个 HID 的样本（“KYC 及财务数据样本”）。与上文第 5 节中描述的方法一致，我们选取的样本在开展工作时首次提供给交易所服务公司的人员。若法院要求测试更广泛的样本，我们可以扩大测试范围。

- 6.2.2 为了选取相关客户的样本，我们采用了使用系统抽样的非统计抽样方法，遵循以下步骤： - (a) 我们首先对《客户诉讼附表》中的 HID 编号顺序进行随机化： - (i) 使用 Excel 函数“=rand()”为每个 HID 编号分配一个随机生成的数字，该函数为《客户诉讼附表》中的每个 HID 编号生成一个介于 0 和 1 之间的随机数；

- (iii) 根据 (ii) 中随机生成的数字，按由小到大的顺序对《客户诉讼附表》进行排序；以及 - (b) 然后，我们在 (iii) 中选取《客户诉讼附表》中每第 71 个 HID 编号，以构成我们样本的一部分。

- 6.2.3 《客户诉讼附表》包含 3,539 名客户，因此通过选取每第 71 个 HID，我们的样本由 50 名客户组成 58。

6.3.1 如上文所述，我们获指示同时审查 (i) 交易所针对相关客户样本获取的 KYC 信息；以及 (ii) 针对这些客户的特定财务信息。

- 6.3.2 对于我们样本中包含的每个 HID，我们审查了 HID 仪表板的“个人资料”（Profile）标签页，并审查了： - (a) HEX 客户数据库中每个 HID 是否存在账户； - (b) 账户是否已启用； - (c) 账户的级别； - (d) 账户是“个人”还是“公司”性质； - (e) 客户的全名、电子邮件地址、国籍和居住国； - (f) 客户的收入来源和财富来源； - (g) 分配给客户的风险评分和风险评级；以及

涉及 United States v Kwok, et al（美国诉郭文贵等案），案号 23 CR 118 (SDNY)（纽约南区联邦地区法院），关于要求返还其 Himalaya Exchange（喜马拉雅交易所）资金的 41(g) 客户诉讼

Mazars LLP（玛泽有限责任合伙）独立法证审查

- (h) 每位客户可用的身份证明文件以及 Jumio 进行的测试。

- 6.3.3 我们在附录 6.1 中列出了我们在这方面的工作结果。总而言之，我们确认，对于构成我们样本一部分的每个 HID： - (a) HEX 客户数据库中存在账户； - (b) 交易所持有身份证明文件的副本，且这些文件已被 Jumio 验证为“真实” 60；以及 - (c) Jumio 进行了人脸识别测试，正如上文第 4.2.11 段所述，其目的是确认持有身份证明文件的人 (i) 与身份证明照片中显示的为同一人；且 (ii) 在入职过程中亲自在场。

- 6.3.4 此外，对于作为该样本一部分进行测试的每位客户，我们还在证据表 6.1（Exhibit 6.1）中附上了 HID 数据库上“风险评分”（Risk Scoring）标签页的摘录，其中包括每位客户对 KYC 调查问卷提供的答复，以及合规团队在其账户中添加的任何审查意见。

- 6.3.5 对于我们样本中包含的每个 HID，我们审查了 HID 仪表板的“存款”（Deposits）和“提款”（Withdrawals）标签页，并力求将 HEX 客户数据库中的信息与《客户诉讼附表》中关于每位客户的以下信息核对一致： - (a) HCN 余额； - (b) HDO 余额；

- (d) 总赎回。

- 6.3.6 关于此样本中客户执行的赎回，我们还力求将赎回金额与交易所的银行对账单核对一致 61。

60 对于我们样本中的每一个，我们力求确认身份证明文件上的姓名与 HEX 客户数据库中的姓名相符。虽然我们能够对样本中的大部分做到这一点，但有许多 HID 涉及中国公民，其身份证明文件和 HEX 客户数据库中的姓名均使用汉字。对于这些个人，我们确认了身份证明文件上的证件号码与 HEX 客户数据库中的证件号码相符。这项工作的详细信息见附录 6.1。

61 涉及这些赎回的已涂黑遮蔽银行对账单已提供给我，并列于证据表 6.2。

涉及 United States v Kwok, et al（美国诉郭文贵等案），案号 23 CR 118 (SDNY)（纽约南区联邦地区法院），关于要求返还其 Himalaya Exchange（喜马拉雅交易所）资金的 41(g) 客户诉讼

Mazars LLP（玛泽有限责任合伙）独立法证审查

- 6.3.7 我们在附录 6.1 中列出了我们的工作结果 62。总而言之，我们确认： - (a) HEX 客户数据库中的 HCN 余额和 HDO 余额与《客户诉讼附表》中记录的金额一致（在考虑时间差异的情况下）。

在这方面，在开展这项工作时，我们力求将《客户诉讼附表》（据指示其编制截止日期为 2023 年 11 月 10 日）中的财务数据与我们开展工作之日（2023 年 12 月 15 日）的“实时”HEX 数据库核对一致。鉴于在 2023 年 11 月 10 日至 2023 年 12 月 15 日期间存在 HCN 和 HDO 余额的持续交易活动，对于某些客户账户，存在调节项（涉及这些客户在此期间进行的交易）——当将这些交易考虑在内时，我们未发现 HEX 客户数据库中的 HCN 和 HDO 余额与《客户诉讼附表》相比存在任何差异；

- (b) HEX Customer Database（喜马拉雅交易所客户数据库）中的总充值额与总赎回额与《Customer Action Schedule》（客户诉讼附表）中注明的金额一致；以及 - (c) HEX Customer Database（以及《Customer Action Schedule》）中的总赎回额与提供给我们的交易所银行对账单一致。这些银行对账单包括： - (i) Mercantile Bank International Corp（“Mercantile Bank”，麦卡泰尔国际银行），我们理解其为一个“托管账户”65；以及

62 如上文第 1.4 节所述，我们获指示，我们审阅的客户信息以及我们据以核实的底层 KYC（了解你的客户）文件均属保密信息。因此，虽然我们审阅了 HEX Customer Database 上的未隐匿信息，但我们获指示，就附录 6.1 中的信息而言必须进行隐匿，因此支持性文件（特别是证物 6.1 和 6.2）均已作隐匿处理

63 我们已将上述各项对账项目与 HEX 数据库进行了核对确认。进一步详情载于附录 6.1

64 提供给我们的银行对账单为交易所持有的银行对账单纸质复印件。我们获指示，由于扣押导致账户被关闭，交易所已不再拥有在线账户

65 我们获指示，在扣押之前，Mercantile Bank 是交易所存放部分稳定币储备的合作银行之一（即“相关 Mercantile Bank 账户”）。我们还获指示，为了保障客户资金安全，相关 Mercantile Bank 账户为“托管人”账户，而非标准银行账户。就此而言，我们收到了一份题为《MERCANTILE BANK INTERNATIONAL CORP. ONLINE CUSTODY & BANKING SERVICES AGREEMENT》（麦卡泰尔国际银行在线托管与银行服务协议）、日期为 2022 年 9 月的文件（即“Mercantile Bank 托管协议”，证物 6.3），我们获指示该文件载明了适用于相关 Mercantile Bank 账户的条款与条件。我们未阅读 Mercantile Bank 托管协议的全部条款与条件，亦未接到对相关 Mercantile Bank 账户执行任何进一步程序的指示。我们获指示审阅 Mercantile 托管协议第 6.2 款，其中规定：“为了履行其作为托管人的职责，并在本协议限制的规制下，客户指示托管人：(i) 妥善保管转入‘托管资金’的法定货币和数字资产数额；(ii) 监控并维护托管资金；(iii) 按照本协议第 6.3 节管理托管资金；(iv) 就托管资金的存入、支付和投资保持及时且准确的记录；以及 (v) 按照本协议预期的频率和方式编制有关托管资金的定期报告并提供相关信息的获取途径”。我们还收到了一份日期为 2020 年 6 月的早期版本 Mercantile Bank 托管协议。

Mazars LLP（玛泽有限责任合伙）独立法证审查

(ii) FV Bank International INC（“FV Bank”，FV 国际银行，即“相关 FV Bank 账户”），我们理解其亦为一个“托管账户”66。

我们已审阅两份文件的第 6.2 款，未发现这些条款存在任何差异。我们获指示，DoJ（司法部）对稳定币储备的扣押（部分）来自相关 Mercantile Bank 账户

66 我们获指示，FV Bank 亦为交易所存放部分稳定币储备的合作银行之一（即“相关 FV Bank 账户”）。我们还获指示，为了保障客户资金安全，相关 FV Bank 账户为“托管人”账户，而非标准银行账户。就此而言，我们收到：(i) 一份题为《Custody Agreement [sic]》（托管协议 [原文如此]）、未注明日期（即“FV Bank 托管协议”，证物 6.4）的文件，我们获指示该文件载明了适用于相关 FV Bank 账户的条款与条件；以及 (ii) 一份题为《Business Account Application》（商业账户申请表）的文件（即“FV Bank 商业账户申请表”，证物 6.5），我们获指示该文件反映了交易所申请开立相关账户的情况。我们未阅读 FV Bank 托管协议的全部条款与条件，亦未接到对相关 FV Bank 账户执行任何进一步程序的指示。我们获指示审阅 FV Bank 托管协议第 22 页题为“陈述、保证与承诺”的章节，其中规定：“FV Bank 将妥善保管托管资产，并将所有托管资产的数据与以下两项进行隔离：(i) FV Bank 的财产，以及 (ii) FV Bank 客户的记录资产。FV Bank 是您存放在托管账户中托管资产的保管方，FV Bank 对该等托管资产不享有任何权利、权益或所有权，亦不会将该等托管资产作为资产反映在 FV Bank 的资产负债表上，但监管机构在特定会计报告中可能要求的除外。FV Bank 不得为您存放在托管账户中的托管资产设定担保物权。未经您签署协议同意 FV Bank 这样做，FV Bank 不得直接借出、质押、抵押或再抵押任何托管资产”。关于 FV Bank 商业账户申请表，我们获指示审阅第 1 页所列问题“在 FV Bank 开立银行账户的目的是什么？”。我们注意到，根据该文件，所声明的账户用途为“存放销售我们的喜马拉雅美元所得款项”。我们获指示，DoJ 对稳定币储备的扣押（部分）来自相关 FV Bank 账户

关于 United States v Kwok, et al（美国诉郭等人案），案号 23 CR 118 (SDNY)（纽约南区），涉及客户依据《联邦刑事诉讼规则》第 41(g) 条要求返还其 Himalaya Exchange（喜马拉雅交易所）资金的诉讼

- 7.1.1 在本节中，我们阐述了在交易所执行的两项说明性客户入驻测试的观察结果。 - 7.1.2 我们执行这些测试是为了评估上文第 4 节所述客户入驻流程的合规性。两项测试均在交易所的服务公司场所进行67，我们于 2023 年 12 月 14 日和 15 日访问了该场所。我们在 CANDEY（坎迪律师事务所）的指示事务律师当时亦在场。

- 7.2.1 第一项说明性客户入驻测试（“测试 1”）使用 United States（美国，受限国家）作为居住国和国籍国进行。测试 1 包括以下步骤： - (a) 访问交易所网站并选择“注册”标签页； - (b) 输入说明性关键注册信息，包括： - (i) 说明性姓名、出生日期和地址； - (ii) 尝试在国籍类别下拉列表中选择“美国”。然而，由于列表中没有美国的选项，此操作无法完成；以及 - (iii) 尝试在居住国类别下拉列表中选择“美国”。然而，由于列表中没有美国的选项，此操作无法完成。 - 7.2.2 如上文第 4.2.1 款所述，只有在提交了所有关键注册信息（必须包括客户的国籍和居住国）之后，新客户才能进入入驻流程的下一阶段。 - 7.2.3 因此，测试 1 无法进入入驻流程的下一阶段，这符合我们对交易所客户注册政策的理解。

67 就本报告而言，我们获指示不得披露交易所服务公司的地址

- 7.3.1 第二项说明性客户入驻测试（“测试 2”）使用 France（法国，不被视为受限国家）作为居住国和国籍国进行。测试 2 包括以下步骤： - (a) 访问交易所网站并选择“注册”标签页； - (b) 输入说明性关键注册信息，包括： - (i) 说明性姓名、出生日期和地址； - (ii) 在国籍类别下拉列表中选择“法国”；以及 - (iii) 在居住国类别下拉列表中选择“法国”。 - 7.3.2 一旦提交了上述说明性关键注册信息，测试 2 的后续步骤包括： - (a) 提供三个安全问题的答案； - (b) 提供并验证电子邮箱地址，在我们确认激活链接后电子邮箱地址即完成验证； - (c) 提供并验证电话号码，在我们输入 6 位验证码后电话号码即完成验证；以及 - (d) 提供确认函，确认我们不是美国、日本的居民，亦不是加拿大或任何其法律禁止持有或使用加密货币的其他司法管辖区的公民或居民。 - 7.3.3 完成上述步骤后，据我们理解，在客户入驻流程的此阶段，测试 2 说明性客户在交易所的 HEX Customer Database 上将被归类为“0 级”。根据我们对交易所入驻流程的理解，我们无法使用该说明性客户账户进行充值或交易。 - 7.3.4 测试 2 的后续步骤包括： - (a) 完成 KYC 调查问卷，其中包括从多项选择题中选择选项；

- (b) 上传身份证件扫描件（在此情况下，我们上传了一份法国驾驶执照的正反面扫描件68）；以及 - (c) 上传一张实时照片。 - 7.3.5 交易所的入驻系统将我们的测试 2 标记为“自动拒绝”，因为关键注册信息上的姓名与所提供的身份证件不符。