La Corée du Sud se prépare à accorder aux plateformes d'échange de cryptomonnaies une plus grande latitude pour bloquer les transactions de leurs clients lorsqu'un piratage suspecté pourrait se transformer en pertes réelles. La Commission des services financiers (FSC) a déclaré le 12 novembre qu'elle prévoit de publier des directives réglementaires autorisant les plateformes à suspendre les dépôts et les retraits lorsqu'une activité anormale laisse suspecter une possible faille de sécurité.

Ce plan, présenté dans une annonce publiée sur le site de la FSC, s'inscrit dans un effort plus large visant à aligner les normes de sécurité crypto du pays sur celles applicables aux institutions financières traditionnelles.

Geler les transferts avant la confirmation d'un piratage

En vertu de la loi sur la protection des utilisateurs d'actifs virtuels, entrée en vigueur en juillet 2024, les plateformes ne peuvent restreindre les dépôts ou les retraits sans raison légitime. Une suspension se justifie une fois qu'un incident de piratage est confirmé, mais les règles ne précisaient pas ce que les plateformes peuvent faire lorsqu'une activité suspecte apparaît avant qu'une intrusion ne soit vérifiée.

La FSC entend désormais combler ce vide. Le régulateur publiera une position de non-poursuite autorisant des restrictions préventives dès qu'il existe des raisons de croire qu'un piratage ou un accès non autorisé s'est produit. Une telle position signale que la commission n'a pas l'intention d'engager de poursuites contre les plateformes qui suspendent leurs services pour ces motifs. L'objectif est que les plateformes réagissent assez rapidement pour minimiser les pertes des clients plutôt que d'attendre qu'une intrusion soit bien engagée.

Cette stratégie intervient dans un contexte de menaces récentes à la sécurité du secteur crypto sud-coréen. Le 6 novembre, GOPAX, une plateforme sud-coréenne d'actifs virtuels, a annoncé une menace d'attaque de pirate, avec suspension des dépôts, des retraits et des transactions. Cet épisode a mis en évidence l'incertitude à laquelle les opérateurs ont été confrontés lorsqu'ils devaient répondre à une activité suspecte avant toute confirmation d'intrusion.

Surveillance 24h/24 et contrôle des hot wallets

La FSC souhaite également que les plateformes mettent en place une surveillance continue adaptée à l'environnement de trading du crypto, actif 24h/24. Les plateformes devraient disposer de personnel capable d'identifier les transactions anormales et d'appliquer des contrôles efficaces sans délai. Les plateformes incapables d'assurer une surveillance continue devraient traiter les dépôts et les retraits uniquement pendant les périodes où un nombre suffisant de personnel de sécurité est en fonction.

Le gouvernement sud-coréen demande déjà aux fournisseurs de services d'actifs virtuels (VASP) de conserver au moins 80 % des actifs virtuels de leurs clients dans des cold wallets, un stockage hors ligne non connecté à Internet. Selon la FSC, le ratio de stockage à froid du secteur dépasse déjà 95 %, et les opérateurs devraient limiter leurs avoirs en hot wallets — les portefeuilles connectés à Internet utilisés pour traiter les transferts quotidiens — au strict nécessaire pour leurs opérations commerciales habituelles.

Le régulateur a également conseillé aux plateformes de répartir les fonds de leurs hot wallets sur plusieurs portefeuilles, une pratique qui limite le montant exposé en cas de compromission d'un portefeuille, et de maintenir une assurance et des réserves adéquates pour indemniser les utilisateurs en cas d'intrusion.

Des contrôles de sécurité élargis

Le plan prévoit également une implication accrue de l'Institut de sécurité financière. La FSC a indiqué que seules cinq plateformes sur 28 fournisseurs de services d'actifs virtuels ont rejoint l'institut et obtenu son approbation, laissant la majorité des VASP du pays en dehors de son cadre d'examen à ce jour. Des opérateurs souhaitent désormais y participer, et les autorités prévoient d'étendre le renseignement sur les menaces, les évaluations de vulnérabilité et la formation en cybersécurité à un plus grand nombre d'entre eux.

L'institut devrait également renforcer les critères relatifs aux contrôles des transactions, à la sécurité de l'accès aux portefeuilles et à l'intégrité des blockchains et des contrats intelligents.

Parallèlement, la FSC élabore une législation plus complète sur la finance numérique qui imposerait aux fournisseurs d'actifs virtuels des exigences de cybersécurité similaires à celles applicables en vertu des réglementations bancaires. Les régulateurs souhaitent également que les intrusions suspectées et les tentatives anormales d'accès externe soient signalées rapidement aux autorités financières. Ces travaux avancent sur deux volets : des directives réglementaires à court terme permettant des gels préventifs, et une législation à plus long terme qui ancrerait les obligations de cybersécurité des fournisseurs d'actifs virtuels dans un cadre de type bancaire.