La Financial Services Commission (FSC) de Corée du Sud a déclaré le 12 novembre 2026 qu'elle prévoit d'émettre une « no-action letter » autorisant les plateformes d'échange de cryptomonnaies à geler de manière préventive les dépôts et les retraits lorsqu'un piratage est suspecté, avant même qu'une violation ne soit confirmée. La lettre n'avait pas été émise au moment de l'annonce et ses conditions n'avaient pas été publiées.

Selon l'annonce de la FSC, la lettre prévue constituerait un engagement réglementaire écrit de ne pas sanctionner les plateformes qui suspendent des transactions dans des conditions définies après avoir détecté des signes d'une attaque potentielle. Les orientations proposées feraient donc passer le déclencheur d'une intervention d'une violation confirmée à un soupçon raisonnable.

Cette proposition de politique intervient dans un contexte d'augmentation des attaques contre l'infrastructure financière sud-coréenne. Selon CryptoBriefing, plus de 37 sociétés financières ont été touchées par des incidents informatiques entre fin septembre et début novembre 2026. Ces incidents ont exposé environ 473 000 données et entraîné le vol d'environ 1 milliard de wons, soit environ 700 000 dollars. Le rapport indique que la FSC a convoqué une réunion d'urgence le 2 novembre alors que le volume des attaques augmentait.

Deux incidents récents ont mis en évidence la difficulté à laquelle les plateformes faisaient face sous les règles antérieures, illustrant à la fois le risque juridique d'agir sur la base d'un soupçon et le coût financier de l'attente d'une confirmation. GOPAX, exploitée par Streami, a suspendu ses opérations le 6 novembre après avoir reçu un courriel menaçant et a déplacé ses actifs vers des portefeuilles froids, bien qu'aucune violation n'ait été confirmée. Agir sur la seule base d'un soupçon a placé GOPAX dans une zone grise juridique et a potentiellement exposé la plateforme à des sanctions réglementaires.

Un incident antérieur impliquant la plateforme sud-coréenne Prabang a démontré le coût potentiel du report de l'action. Selon KuCoin, Prabang a interrompu ses services le 24 octobre après avoir détecté des retraits anormaux depuis un hot wallet. Environ 70 000 dollars, soit près de 100 millions de wons, ont été perdus avant que la plateforme ne puisse réagir. Prabang se serait engagée à indemniser les clients concernés avec des fonds de l'entreprise.

L'audit de la FSC révèle des failles de sécurité

La FSC a indiqué qu'un audit de sécurité à l'échelle du secteur portant sur 555 sociétés financières dans tout le pays a révélé des déficiences en matière de cybersécurité chez 130 d'entre elles, soit un taux d'échec d'environ 23 % parmi les sociétés examinées.

Le vice-président de la FSC, Shin Jin-chang, a présidé la réunion de sécurité de l'industrie des actifs virtuels qui a produit les orientations prévues, selon la commission. La FSC a déclaré exiger de toutes les plateformes un monitoring et un personnel en continu.

La commission cherche également à élargir la participation à l'Institut coréen de sécurité financière. Seules cinq des 28 prestataires de services d'actifs virtuels de Corée du Sud en sont actuellement membres, laissant 23 sociétés sans accès à des services tels que les évaluations de vulnérabilités, les tests d'intrusion par des hackers éthiques et la réponse aux incidents 24 heures sur 24. La FSC presse les prestataires restants de rejoindre l'institut. Toutefois, au moment de l'annonce, la majorité de l'industrie crypto domestique restait en dehors de ce cadre institutionnel de sécurité.

India Crypto Research a noté sur X que les régulateurs n'avaient pas pu ordonner une indemnisation après le piratage d'Upbit en vertu des règles alors en vigueur. La FSC travaille depuis à une responsabilité sans faute en vertu de laquelle les plateformes seraient tenues d'indemniser les utilisateurs pour les pertes causées par des piratages ou des interruptions de service, à l'instar des obligations imposées aux banques. La no-action letter prévue fait donc partie d'un effort plus large à Séoul visant à établir une responsabilité plus claire des plateformes.

Les exigences de cold wallet créent des arbitrages opérationnels

Selon la politique annoncée par la FSC, les plateformes doivent détenir au moins 80 % des actifs des clients dans des portefeuilles froids, et la commission cherche à relever ce seuil minimal. Le stockage d'une part plus importante des actifs hors ligne peut réduire l'exposition aux attaques de hot wallets comme celle impliquant Prabang. Cela peut toutefois créer un arbitrage opérationnel : les demandes de retrait légitimes importantes peuvent nécessiter un déplacement manuel des actifs des portefeuilles froids vers les portefeuilles chauds, ce qui peut ralentir le traitement pendant les périodes de forte demande.

Les orientations actuelles de la FSC ne traitent pas de cet arbitrage, et les régulateurs n'ont pas précisé publiquement comment ils comptent équilibrer des exigences renforcées de stockage à froid avec les attentes des utilisateurs en matière de rapidité des retraits. Les détails de la no-action letter restent également non résolus, notamment les conditions constituant un « soupçon raisonnable », la durée maximale d'un gel autorisé et les éventuelles exigences de notification aux utilisateurs. Tant que ces termes ne sont pas publiés, ni la durée d'un gel autorisé ni la notification que recevraient les utilisateurs ne sont définies.

La Digital Asset Basic Act établirait une responsabilité plus large

La FSC a déclaré prévoir d'inclure dans la prochaine Digital Asset Basic Act des dispositions exigeant que les prestataires de services d'actifs virtuels respectent des normes de stabilité équivalentes à celles de l'industrie financière et assument la responsabilité des dommages causés par des piratages ou des défaillances opérationnelles.

Si elles sont adoptées, ces dispositions feraient passer des obligations clés des plateformes des orientations réglementaires à la loi. Cela pourrait réduire le recours à des instruments tels que les no-action letters pour combler les futures lacunes réglementaires. L'application reste toutefois un défi. Avec 23 des 28 prestataires de services d'actifs virtuels toujours en dehors de l'Institut de sécurité financière, la capacité de la FSC à vérifier la conformité aux exigences de monitoring 24 heures sur 24 et aux ratios de portefeuilles froids est limitée par la même lacune de couverture institutionnelle qu'elle tente de combler.

La Corée du Sud a également connu des défaillances notables de sécurité des actifs numériques au-delà du secteur des plateformes crypto. Un incident distinct impliquant des procureurs sud-coréens et du Bitcoin a illustré les risques de sécurité plus larges auxquels sont confrontées les institutions manipulant des actifs numériques.

Si elle est émise comme annoncé, la no-action letter supprimerait un frein juridique pour les plateformes souhaitant réagir de manière défensive aux anomalies. Pour les exploitants de plateformes et leurs équipes de gestion du risque de liquidité, le changement proposé créerait un dispositif réglementaire écrit de « safe harbor » pour les gels préventifs. La question centrale non résolue est le seuil d'intervention : les critères spécifiques déterminant à quel moment un soupçon est suffisant pour justifier la suspension des dépôts et des retraits. Tant que la FSC ne publie pas ces critères, le safe harbor reste un plan annoncé plutôt qu'une règle opérationnelle.