收加密货币要不要 PCI 合规、要不要牌照？一个冷静的回答
PCI DSS 管的是卡数据——不经卡收款，就没有卡数据需要保护。货币传输牌照跟着'替别人保管资金'走——那是托管平台的负担，不是商户的，除非你自己变成托管方。这篇给一张冷静的地图：什么适用、什么不适用、什么永远不变。
先给答案：PCI DSS 的存在是为了保护卡数据——一笔付款里没有卡，你的系统里就没有持卡人数据，PCI 没有可以附着的对象（如果你同时保留刷卡通道，那一侧的义务照旧）。货币传输牌照跟着持有或转移别人的钱走——那是托管平台的负担，不是商户的；把自己商品的货款收进自己控制的钱包，是收款，不是转移货币。永远不变的：税务、行业执照、制裁合规，不管钱怎么到账都全额适用。这篇是地图，不是法律意见——目标是让你去问律师对的问题，而不是付费听人解释缩写。
PCI DSS：它是什么，以及它什么时候压根不适用
PCI DSS 是卡行业的安全标准，它的全部管辖对象是持卡人数据——卡号、磁条数据、CVV。它的适用性问题只有一个：卡号碰不碰你的系统？
一笔加密付款里没有卡号。顾客把代币转到一个收款地址；整条流程里不存在任何卡号——PCI 的要求没有可保护的对象。这不是钻空子，也不是需要申请的豁免；是这个标准的管辖对象在流程里根本不存在，就像 PCI 不适用于收银行转账或收现金一样。
两条冷静的补充：
- 同时收卡的话，刷卡流程的 PCI 义务原封不动。加不加密货币都不影响那一侧——两个范围是平行的，不相连。
- "没有 PCI"不等于"不用管安全"。你要操心的资产换了：钱包私钥和收款地址配置。威胁模型不同，尽职一样是真的（非托管让你真正对什么负责）。
货币传输牌照：顺着"谁拿着钱"看
货币服务监管——美国是联邦注册加各州货币传输牌照，其他地方各有对应物——附着在接收并转移他人资金或托管资金的业务上。这正是托管网关持牌并要求 KYB 的原因：它们收顾客的钱、拿着、转换、再打给商户。牌照是托管在法律上的影子（也是它们费用藏身的地方）。
而一个商户，为自己的商品和服务收款、收进自己控制的钱包，站在那条线的另一侧：为交付的价值收到的钱是你的钱——收款这件事，从来不需要支付牌照。这也是非托管网关不设 KYB 门槛的原因：流程里没有一个需要保护自身监管敞口的托管方。
商户可能越线的几种情形——值得精确了解，恰恰因为这些模式看起来无害：
- 替别人保管资金——给用户记余额、代管钱包、第三方之间的资金托管
- 把换汇做成服务——作为业务向顾客提供加密与法币的兑换
- 支付代收——替其他卖家收款再转交（市场平台式的资金流，值得真正的法律审查）
卖自己的东西、收自己的钱：不在这张单子上。
永远不变的部分（让这篇文章保持诚实的一段）
- 税。加密收入是收入——所得税、增值税、记账义务，全额健在。稳定币让估值变得容易（$49 的单=49 USDC），但义务从来就与计价单位无关（USDC 指南里的记账笔记）。
- 行业执照。你的行业要什么照，支付轨道既不加也不减。
- 制裁合规。管的是你和谁交易，每条轨道上都管。严肃的网关会筛查结算、把命中拦截的付款明确展示出来，而不是假装这个话题不存在。
- 消费者法。退款权利、信息披露、广告规范——因辖区而异，与轨道无关（退款的实际操作）。
哪家供应商的宣传暗示"用加密货币，义务就消失了"，直接关掉那个标签页。诚实的说法更窄，也更好：加密去掉的是中间人的要求——托管方的牌照、卡组织的数据标准——因为它去掉了中间人。你自己的义务，还是你自己的。
一张表的版本
| 要求 | 附着于 | 你（为自己的商品收加密货币） |
|---|---|---|
| PCI DSS | 你系统里的持卡人数据 | 不适用（流程中不存在卡数据） |
| 货币传输牌照 | 持有/转移他人资金 | 不是你——那是托管平台的负担；你只持有自己的营收 |
| KYB 开户审查 | 托管方的合规程序 | 非托管下结构上不需要 |
| 所得税/增值税 | 收入，任何轨道 | 全额适用 |
| 行业执照 | 你的经营活动 | 全额适用 |
| 制裁法 | 交易对手，任何轨道 | 全额适用 |
真正值得花律师时间的问题
跳过"收加密货币合法吗"（大多数地方合法，而计费器在走）。改问这些：
- 1我们的流程里有没有任何"替顾客持有价值"的环节——余额、点数、代管？（线就在这里。）
- 2我们有没有替其他卖家代收货款？
- 3稳定币收入怎么入账，以哪个时间戳？
- 4我们的客群所在辖区有没有特别的披露规则？
四个问题，一个计费小时，换回真答案——而不是订阅一份持续的普遍焦虑。
FAQ
所以我可以……直接开始收了？
在大多数辖区，为自己的商品、收进自己的钱包：操作上可以，原有义务全部随身。结构上连 KYB 的门都没有（为什么）。具体以当地为准——这半句话不是客套，是在干活。
用非托管网关和托管网关，我的法律位置有区别吗？
区别在于你依赖谁的合规。用托管方，你的营收住在它的监管边界里（连同它的冻结能力）。非托管下，钱直接结算给你——平台从未持有，所以它的牌照根本不在你的钱要走的路上。
没有中间人，制裁筛查怎么办？
这份义务在每条轨道上都是你的；好的基础设施帮你履行——Finality 对结算做筛查，命中的付款会被拦截并明确展示，而不是悄悄结算过去。
这篇是法律意见吗？
不是——它是让你的法律意见变便宜的那张地图。规则因辖区而异且会变；了解你具体情况的专业人士，胜过任何文章，包括这一篇。
加密支付需要 PCI DSS 吗？
不经卡的加密流程里没有持卡人数据，PCI 没有管辖对象——完整的范围逻辑在上文。你保留的刷卡通道照旧在范围内。
收加密货币要货币传输牌照吗？
为自己的商品收款、收进自己的钱包，是收款，不是传输——牌照的担子属于持有客户资金的托管方。
加密收入要交销售税吗？
销售税/增值税义务跟着销售走，不跟轨道走——和刷卡收入一模一样。稳定币计价让记账变容易;义务从来不是可选项。
用非托管网关会改变我的合规义务吗？
它移除的是平台的门（KYB、账户审查），因为托管方不存在;你自己的义务——税、执照、制裁——原样继续。
收加密货币之前要找律师吗？
普通收款，上文那四个问题能让那一小时花得高效。如果你替顾客保管价值、或替其他卖家代收——要，在动工之前。
各国对收加密货币的监管不一样吗？
细节各异；模式不变：义务附着在托管和转换上，很少附着在"被支付"上。当地确认——这句话在哪都管用。
合规焦虑多半是对"未知的未知"的恐惧——而流程本身就是最好的解药：跑一笔沙盒付款，看它结算进你自己的钱包，数一数整条链路上一共几方参与。不在流程里的东西，管不到你头上。