L'Agence des services financiers du Japon (FSA) a avancé cette semaine de nouvelles mesures réglementaires, établissant des règles sur la manière dont les plateformes d'échange de cryptomonnaies doivent signaler les cyberattaques et traiter les retraits qui soulèvent des préoccupations en matière de fraude.

Selon des rapports locaux, les dernières recommandations du régulateur incluent un formulaire de signalement standardisé pour les plateformes d'échange et d'autres secteurs technologiques afin de remonter les failles de sécurité via les canaux appropriés. Un second ensemble de directives porte sur la manière dont les plateformes gèrent les fonds des utilisateurs japonais, en particulier lorsque les transactions présentent des signaux d'alerte associés à une activité frauduleuse.

Ralentir le mouvement des fonds volés

Le 6 août, l'Agence nationale de police du Japon et la FSA ont émis une directive à l'attention de la Japan Virtual and Crypto Assets Exchange Association (JVCEA) — l'organe d'autorégulation de l'industrie — détaillant 11 mesures anti-fraude.

La directive vise les comptes impliqués dans des procédures de fraude et restreint leur capacité à transférer des fonds. Selon les recommandations, les plateformes d'échange doivent maintenir les fonds dans les comptes signalés pendant une période désignée avant que les retraits puissent être traités. De plus, les fonds ne peuvent être envoyés qu'à des adresses de destination qui ont été préalablement enregistrées. Les titulaires de compte devraient être tenus d'observer une période d'attente avant que les transferts vers de nouvelles adresses puissent être exécutés.

Les agences ont également demandé aux plateformes d'échange d'établir des limites de retrait basées sur les avoirs des clients et leurs profils de risque. D'autres exigences proposées incluent l'authentification multifacteur et la vérification de concordance des noms sur les virements bancaires entrants lorsque des tentatives d'hameçonnage ou d'usurpation d'identité sont suspectées.

Les protocoles de surveillance seraient également renforcés, permettant des blocages de comptes plus rapides pour les transactions qui semblent frauduleuses et un partage d'informations accéléré avec la police préfectorale.

La FSA a noté que chaque plateforme d'échange conserve le pouvoir d'appréciation sur la manière dont elle met en œuvre ces recommandations, en fonction de sa structure opérationnelle et de son exposition aux risques.

Justification réglementaire

L'objectif de la FSA est d'introduire des freins dans le déplacement rapide des fonds obtenus illicitement hors des plateformes sous sa juridiction. Selon la déclaration de l'agence, elle s'attaque aux « pertes croissantes parmi les utilisateurs de plateformes d'échange de cryptomonnaies et aux cas où des fonds obtenus par des schémas frauduleux sont transférés vers des comptes de plateforme d'échange. »

Une fois que les fonds quittent les plateformes d'échange et sont stockés dans des portefeuilles en dehors de la juridiction japonaise, la probabilité de récupération est quasi nulle. L'accent mis sur l'intégration de délais et d'étapes de vérification dans les procédures de retrait reflète les leçons tirées d'incidents antérieurs sur le marché des cryptomonnaies au Japon, où des failles très médiatisées — notamment l'effondrement de Mt. Gox en 2014 et le piratage de Coincheck en 2018 — ont incité les législateurs à renforcer les normes opérationnelles et ont motivé la création de la JVCEA en tant qu'organe d'autorégulation de l'industrie.

Signalement unifié dans 17 secteurs

Le 7 août, la FSA a publié un projet distinct de révision de ses directives de supervision qui standardiserait la manière dont les entreprises signalent les cyberattaques et les défaillances du système. Les fournisseurs de services d'échange d'actifs cryptographiques figurent parmi les 17 secteurs concernés, selon CoinPost.

Auparavant, un modèle de signalement commun n'existait que pour les attaques DDoS et les incidents de rançongiciels. La révision introduit un nouveau « Modèle commun pour autres incidents de cyberattaque » afin de couvrir tous les autres types d'attaques, suite à un amendement de mai 2025 à un accord interministériel.

Les entreprises peuvent continuer à utiliser le format précédent pendant une période transitoire s'étendant jusqu'à la fin du mois de mars 2027. La FSA accepte les commentaires du public sur le projet jusqu'à 17 heures le 7 septembre.

Un volet d'une réforme plus large des cryptomonnaies

Ces mesures interviennent alors que le Japon entreprend une réforme globale de son cadre réglementaire des actifs numériques. Le 6 août, la FSA a également créé une division dédiée aux actifs cryptographiques et aux stablecoins au sein d'un nouveau bureau de supervision, comme l'a rapporté Cryptopolitan, remplaçant les unités de niveau bureau dispersées qui supervisaient auparavant le secteur.

Cela fait suite à une législation adoptée en juillet qui reclassifie les cryptomonnaies comme produit financier en vertu de la loi sur les instruments financiers et les échanges, réduit le taux d'imposition maximum sur les gains de transaction à un taux forfaitaire de 20 % à compter du 1er janvier 2028, et établit les fondations des ETF au comptant nationaux. La réduction fiscale et le cadre des ETF placent le Japon aux côtés d'un petit groupe de juridictions — notamment les États-Unis, Hong Kong et l'Australie — qui ont œuvré à réduire les obstacles à la participation de détail et institutionnelle aux cryptomonnaies par la clarté réglementaire et des voies d'approbation de produits. Collectivement, les actions de la semaine traduisent l'intégration continue par le Japon de la supervision des cryptomonnaies dans la supervision financière traditionnelle.