Die südkoreanischen Finanzaufseher haben Vor-Ort-Prüfungen bei Bithumb eingeleitet, einer der größten Kryptowährungsbörsen Südkoreas, nachdem die Börse Anzeichen dafür gemeldet hatte, dass ein abnormaler externer Zugriff Mitarbeiterdaten offengelegt hatte – während weiterhin geprüft wird, ob auch Kundendaten betroffen sind.

In einer Mitteilung vom 28. Oktober erklärte die Financial Services Commission (FSC), dass die bei dem Vorfall betroffenen Informationen Beschäftigte von Bithumb, seiner Tochtergesellschaften und Partnerunternehmen betreffen. Bei einem Notfalltreffen teilte Bithumb mit, dass das betroffene System die Arbeit der Mitarbeiter unterstützt und nicht Teil der Kernrechenanlagen ist, die für den Kryptowährungshandel genutzt werden.

Nach Angaben der FSC hat die Börse kein Leck von Informationen bestätigt, die für betrügerische Zahlungen oder Krypto-Transfers nutzbar sein könnten, einschließlich Wallet-Adressen. Dieser Befund lässt die umfassendere Bewertung einer möglichen Offenlegung von Kundendaten jedoch unvollendet.

Aufseher mobilisieren gemeinsame Vor-Ort-Reaktion

Die unmittelbare Reaktion führt die FSC, die Financial Supervisory Service und das Financial Security Institute zu einer Vor-Ort-Untersuchung zusammen. Die FSC erklärte, die Behörden tauschten Informationen aus und arbeiteten eng zusammen, um die Ursache des Vorfalls zu ermitteln.

Der Mitteilung zufolge wurde das Notfalltreffen von Yoo Young-joon geleitet, dem Leiter der Digitalfinanzpolitik der FSC. Bithumb und DAXA, der Digital Asset Exchange Alliance, der gemeinsame Selbstregulierungsverband des Landes für Kryptobörsen, gesellten sich zu den Aufsichts- und Sicherheitsbehörden und legten den Bericht der Börse den Institutionen vor, die die Reaktion koordinieren. Ein Beitrag der FSC vom 28. Oktober beschrieb ebenfalls das Notfalltreffen und den Beginn der Vor-Ort-Prüfungen. Die Mitteilung der FSC legt sowohl die Maßnahmen der Behörden als auch die Darstellung von Bithumb zum betroffenen Mitarbeiter-Unterstützungssystem dar.

Die Reaktion des Regulators umfasst auch einen bedingten Entschädigungsplan. Sollten Verbraucher einen Schaden erleiden, plant die FSC, Schutzmaßnahmen zu überwachen, einschließlich einer vollständigen Entschädigung.

Bithumb identifizierte das betroffene System in seinem Bericht, während die Vor-Ort-Arbeit der Regulatoren die Ursache des Vorfalls klären soll. Die Offenlegung zum Mitarbeiter-System und die andauernde Prüfung der Kundendaten lassen die Untersuchung mit getrennten Fragen zurück. Die FSC hat eine abgeschlossene Untersuchung oder eine abschließende Bewertung der Auswirkungen auf Kunden noch nicht bekannt gegeben.

FSC zielt auf eine Sicherheitslücke über Bithumb hinaus

Neben den Prüfungen umriss die FSC Pläne zur Stärkung der Sicherheit bei Virtual-Asset-Unternehmen und in anderen Sektoren, die nach Angaben der Behörde derzeit außerhalb des Electronic Financial Transactions Act liegen – des Gesetzes, das elektronische Zahlungs- und Überweisungsdienste bei Banken und anderen lizenzierten Finanzinstituten regelt. Südkoreanische Virtual-Asset-Unternehmen registrieren sich derzeit als Virtual Asset Service Provider nach den Finanzberichts- und Geldwäschevorschriften des Landes und nicht nach diesem Gesetz. Der Regulator möchte, dass deren Sicherheitsvorkehrungen denen von Banken und anderen großen Finanzinstituten entsprechen. Das erklärte Ziel umfasst auch die Fähigkeit, bei einem Vorfall schnell reagieren zu können – das bedeutet, dass der Vorschlag sowohl die Standards betrifft, die Unternehmen erfüllen sollen, als auch ihre Kapazität, nach einem Vorfall zu reagieren.

Die Mitteilung vom 28. Oktober enthält keine in Kraft gesetzte neue Anforderung und keine Umsetzungsfrist. Während der vorgeschlagene Reaktionsplan Kryptounternehmen nennt, überlässt die Ankündigung die konkreten Maßnahmen und deren zeitliche Umsetzung einer noch festzulegenden Regelung.

Die FSC stellte ihre Reaktion auf Bithumb neben kürzlich gemeldete Vorfälle bei den Lebensversicherungs- und Vermögensverwaltungsgeschäften von Mirae Asset sowie eine zusätzliche Offenlegung von Kundendaten, die bei der Untersuchung der Daishin Securities entdeckt wurde. Die Mitteilung weitet die Aufmerksamkeit des Regulators über mehrere Finanzsektoren aus, ohne festzustellen, dass die Vorfälle eine gemeinsame technische Ursache haben.

Der Hintergrund ist die breitere Welle von Sicherheitsvorfällen im südkoreanischen Finanzsektor, die am 15. Oktober gemeldet wurde, als die FSC zwei weitere Krypto-Unternehmen benannte. Die neue Offenlegung von Bithumb ergänzt eine sofortige Prüfreaktion und einen konkreten Plan, Banken-Niveau-Sicherheit für Sektoren außerhalb des Elektronik-Finanzgesetzes anzustreben. Nach Angaben der FSC hat Bithumb mitgeteilt, dass weiterhin geprüft wird, ob Kundendaten abgeflossen sind.