La Comisión de Servicios Financieros (FSC) de Corea del Sur informó el 12 de noviembre de 2026 que planea emitir una "carta de no acción" que permitirá a los exchanges de criptomonedas congelar preventivamente depósitos y retiros cuando se sospeche de un hackeo, incluso antes de que se confirme una brecha. La carta no había sido emitida al momento del anuncio, y sus condiciones no habían sido publicadas.

Según el anuncio de la FSC, la carta prevista sería un compromiso regulatorio por escrito de no sancionar a los exchanges que suspendan transacciones bajo condiciones definidas tras detectar indicios de un posible ataque. La guía propuesta trasladaría, por lo tanto, el detonante de intervención de una brecha confirmada a una sospecha razonable.

La propuesta de política surge en medio de un aumento de los ataques contra la infraestructura financiera surcoreana. Según CryptoBriefing, más de 37 empresas financieras fueron afectadas por incidentes cibernéticos entre finales de septiembre y principios de noviembre de 2026. Los incidentes expusieron aproximadamente 473.000 registros y resultaron en fondos robados por alrededor de 1.000 millones de wones, unos 700.000 dólares. El informe indicó que la FSC convocó una reunión de emergencia el 2 de noviembre a medida que aumentaba el volumen de ataques.

Dos incidentes recientes destacaron la dificultad que enfrentan los exchanges bajo las reglas anteriores, ilustrando tanto el riesgo legal de actuar por sospecha como el costo financiero de esperar una confirmación. GOPAX, operado por Streami, suspendió operaciones el 6 de noviembre tras recibir un correo amenazante y trasladó activos a almacenamiento en frío, aunque no se había confirmado ninguna brecha. Actuar solo por sospecha colocó a GOPAX en una zona legal gris y potencialmente expuso al exchange a sanciones regulatorias.

Un incidente anterior que involucró al exchange surcoreano Prabang demostró el costo potencial de retrasar la acción. Según KuCoin, Prabang detuvo sus servicios el 24 de octubre tras detectar retiros anómalos de una hot wallet. Se perdieron aproximadamente 70.000 dólares, unos 100 millones de wones, antes de que la plataforma pudiera responder. Prabang se comprometió, según informes, a compensar a los clientes afectados con fondos de la empresa.

La auditoría de la FSC identifica brechas de seguridad

La FSC informó que una auditoría de seguridad de todo el sector, que revisó 555 empresas financieras a nivel nacional, encontró deficiencias de ciberseguridad en 130 de ellas, lo que representa una tasa de incumplimiento de aproximadamente el 23% entre las empresas revisadas.

El vicepresidente de la FSC, Shin Jin-chang, presidió la reunión de seguridad de la industria de activos virtuales que produjo la guía prevista, según la comisión. La FSC indicó que exigirá a todos los exchanges mantener monitoreo y personal las 24 horas.

La comisión también busca ampliar la participación en el Instituto de Seguridad Financiera de Corea. Solo cinco de los 28 proveedores de servicios de activos virtuales de Corea del Sur son actualmente miembros, lo que deja a 23 empresas sin acceso a servicios como evaluaciones de vulnerabilidades, pruebas de penetración con hackers éticos y respuesta a incidentes las 24 horas. La FSC está instando a los proveedores restantes a unirse. Sin embargo, al momento del anuncio, la mayoría de la industria cripto nacional permanecía fuera de ese marco institucional de seguridad.

India Crypto Research señaló en X que los reguladores no pudieron ordenar compensaciones tras el hackeo de Upbit bajo las reglas vigentes en ese momento. La FSC ha trabajado desde entonces hacia una responsabilidad sin culpa, según la cual los exchanges deberían compensar a los usuarios por pérdidas causadas por hackeos o interrupciones, similar a las obligaciones impuestas a los bancos. La carta de no acción prevista es, por lo tanto, parte de un esfuerzo más amplio en Seúl para establecer una mayor responsabilidad de los exchanges.

Los requisitos de cold wallet crean contrapartidas operativas

Bajo la política anunciada por la FSC, los exchanges deben mantener al menos el 80% de los activos de los clientes en cold wallets, y la comisión busca elevar ese mínimo. Mantener una mayor proporción de activos fuera de línea puede reducir la exposición a ataques de hot wallet como el que involucró a Prabang. También puede crear una contrapartida operativa: solicitudes de retiro legítimas de mayor tamaño pueden requerir el traslado manual de activos desde cold wallets a hot wallets, lo que podría ralentizar el procesamiento durante períodos de alta demanda.

La guía actual de la FSC no aborda esa contrapartida, y los reguladores no han especificado públicamente cómo equilibrarían requisitos de almacenamiento en frío más estrictos con las expectativas de los usuarios sobre la velocidad de retiro. Los detalles de la carta de no acción también siguen sin resolverse, incluidas las condiciones que calificarían como "sospecha razonable", el período máximo de un congelamiento permitido y los requisitos de notificación al usuario. Hasta que se publiquen esos términos, ni la duración de un congelamiento permitido ni la notificación que recibirían los usuarios están definidas.

La Ley Fundamental de Activos Digitales establecería una responsabilidad más amplia

La FSC informó que planea incluir disposiciones en la próxima Ley Fundamental de Activos Digitales que exigirán a los proveedores de servicios de activos virtuales cumplir estándares de estabilidad equivalentes a los de la industria financiera y asumir responsabilidad por daños causados por hackeos o fallos operativos.

Si se promulgan, esas disposiciones trasladarían obligaciones clave de los exchanges de la guía regulatoria a la ley estatutaria. Eso podría reducir la necesidad de depender de instrumentos como cartas de no acción para abordar futuros vacíos regulatorios. La aplicación sigue siendo un desafío, sin embargo. Con 23 de 28 proveedores de servicios de activos virtuales aún fuera del Instituto de Seguridad Financiera, la capacidad de la FSC para verificar el cumplimiento de los requisitos de monitoreo las 24 horas y las proporciones de cold wallets está limitada por la misma brecha de cobertura institucional que intenta cerrar.

Corea del Sur también ha experimentado fallos significativos de seguridad de activos digitales más allá del sector de exchanges cripto. Un incidente separado que involucró a fiscales surcoreanos y Bitcoin ilustró los riesgos de seguridad más amplios que enfrentan las instituciones que manejan activos digitales.

Si se emite como se anunció, la carta de no acción eliminaría un desincentivo legal para que los exchanges respondan de forma preventiva ante anomalías. Para los operadores de exchanges y sus equipos de riesgo de liquidez, el cambio propuesto crearía un puerto seguro regulatorio por escrito para congelamientos preventivos. El tema central sin resolver es el umbral de acción: los criterios específicos que determinarían cuándo la sospecha es suficiente para justificar la suspensión de depósitos y retiros. Hasta que la FSC publique esos criterios, el puerto seguro sigue siendo un plan anunciado y no una regla operativa.