Il regolatore di Singapore chiede alle banche di segnalare i propri asset crittografici

Il regolatore finanziario di Singapore vuole che le banche segnalino i propri “cryptos”, ma l’istruzione non ha nulla a che vedere con la divulgazione di detenzioni di Bitcoin, Ethereum o altri asset digitali.

TL;DR

Le banche devono catalogare i propri asset crittografici.

“Cryptos” non significa criptovalute.

Requisiti graduali arriveranno più avanti nel 2026.

I sistemi vulnerabili migreranno in base alla priorità.

Le reti crypto affrontano rischi di sicurezza simili.

In questo contesto, “cryptos” si riferisce agli asset crittografici: chiavi di crittografia, certificati digitali, firme e algoritmi che proteggono le informazioni dei clienti, le istruzioni di pagamento e la comunicazione tra istituzioni finanziarie.

La Monetary Authority of Singapore emetterà aspettative di vigilanza formali più avanti nel 2026, secondo Channel News Asia. Le banche riceveranno scadenze progressive per identificare dove viene utilizzata la crittografia, classificare i sistemi vulnerabili e preparare sostituzioni in grado di resistere ai futuri attacchi quantistici.

Cosa dovranno segnalare le banche

MAS non chiede alle banche di pubblicare i propri portafogli di criptovalute. Vuole invece che ogni istituzione mantenga un inventario interno che mostri dove viene utilizzata la crittografia in tutte le sue attività.

Ciò potrebbe includere sistemi di mobile banking, autorizzazione dei pagamenti, database dei clienti, comunicazioni interne, piattaforme cloud e servizi forniti da società tecnologiche esterne.

Le banche dovranno anche identificare quali sistemi si basano su algoritmi che potenti computer quantistici potrebbero in futuro essere in grado di violare. Le infrastrutture più sensibili potranno quindi essere collocate in cima alla coda di migrazione.

MAS aveva già delineato questo approccio nel proprio avviso sui rischi di cybersecurity legati al quantum, che incoraggiava gli istituti finanziari a mappare le proprie soluzioni crittografiche, valutare gli asset vulnerabili e riesaminare la capacità di adottare nuovi standard di sicurezza.

Le nuove aspettative di vigilanza trasformeranno questa preparazione in un processo più strutturato con tempistiche definite.

I sistemi più esposti si muoveranno per primi

Non tutti i sistemi comportano lo stesso livello di rischio. Le infrastrutture utilizzate per autorizzare i pagamenti o proteggere registrazioni dei clienti a lungo termine richiederanno un’attenzione più urgente rispetto alle informazioni che perdono rapidamente valore.

Le banche dovranno inoltre considerare la crittografia integrata in software, hardware e servizi gestiti da fornitori esterni. Un’istituzione finanziaria può comprendere i propri sistemi, ma dipendere comunque da un fornitore tecnologico che non è in grado di supportare algoritmi più recenti.

MAS si aspetta che le istituzioni sviluppino le competenze e la governance necessarie per gestire tali dipendenze. Ciò significa assegnare responsabilità, coordinarsi con i fornitori e pianificare per infrastrutture più vecchie che non possono essere aggiornate facilmente.

Questa sfida legata ai fornitori e ai sistemi legacy è uno dei motivi per cui il regolatore si sta muovendo ora invece di attendere che le capacità quantistiche maturino. Stabilendo in anticipo inventari e priorità di migrazione, MAS sta dando alle banche il tempo di tracciare dove si trova la crittografia nell’intero stack prima che inizi il lavoro urgente di sostituzione.

Il regolatore punta a rendere le istituzioni finanziarie di Singapore resilienti al quantum prima della fine del decennio. Il managing director di MAS, Chia Der Jiun, ha affermato che gli esperti stimano che computer quantistici in grado di rompere l’attuale crittografia potrebbero emergere entro cinque-10 anni, mentre una migrazione sicura potrebbe richiedere a sua volta anni.

Perché i computer quantistici minacciano la crittografia

La sicurezza bancaria moderna dipende da problemi matematici che i computer convenzionali non possono risolvere in un tempo pratico. Questi calcoli proteggono chiavi di crittografia e firme digitali da accessi non autorizzati.

Un computer quantistico sufficientemente potente potrebbe gestire alcuni di quei problemi in modo molto più efficiente, indebolendo forme ampiamente utilizzate di crittografia a chiave pubblica. Le transazioni finanziarie, le comunicazioni riservate e i dati dei clienti archiviati potrebbero quindi diventare esposti.

Quella capacità non esiste oggi alla scala necessaria. La preoccupazione è che le banche non possano attendere che la minaccia diventi concreta prima di individuare e sostituire la crittografia distribuita su migliaia di sistemi.

Esiste anche il rischio che gli aggressori raccolgano ora informazioni crittografate e tentino di sbloccarle anni dopo. I dati che devono rimanere riservati a lungo potrebbero quindi richiedere una protezione anticipata.

Il Quantum-Safe Migration Handbook di Singapore descrive la transizione come un processo pluriennale che coinvolge individuazione dei sistemi, valutazione del rischio, test e distribuzione graduale.

Non ci sarà un unico aggiornamento quantistico

La crittografia è integrata in quasi ogni livello dell’infrastruttura bancaria, quindi sostituirla con un unico grande aggiornamento creerebbe a sua volta rischi operativi e di sicurezza.

La transizione avverrà invece in fasi. Le banche dovranno testare in che modo gli algoritmi post-quantum influenzano la velocità di elaborazione, la compatibilità dei sistemi e le connessioni con altre istituzioni finanziarie prima di utilizzarli nei servizi in produzione.

Dovranno inoltre disporre di crypto-agility — la capacità di sostituire algoritmi e chiavi senza ricostruire i sistemi che li circondano. Le istituzioni con infrastrutture rigide o obsolete potrebbero dover modernizzare tali sistemi prima di aggiungere protezioni resistenti al quantum.

I primi standard post-quantum finalizzati da NIST forniscono algoritmi per la crittografia e le firme digitali, ma adottarli in reti finanziarie complesse richiederà molto più tempo della semplice pubblicazione degli standard stessi.

Perché le reti crypto affrontano lo stesso problema

I requisiti MAS si applicano agli istituti finanziari, ma la minaccia di fondo riguarda anche le reti di criptovalute. Le blockchain dipendono da firme crittografiche per provare la proprietà, autorizzare le transazioni e impedire che i fondi vengano spostati senza la corretta chiave privata.

Alcune parti del settore crypto stanno già esplorando possibili risposte. Gli sviluppatori di Bitcoin hanno discusso una migrazione pluriennale lontano dalle firme dei wallet vulnerabili al quantum, mentre un test post-quantum su BNB Chain avrebbe ridotto il throughput cross-region di circa il 40%, mostrando che una protezione più forte può generare costi prestazionali significativi.

Banche e blockchain devono quindi affrontare un trade-off simile. Un nuovo algoritmo può offrire maggiore sicurezza, ma deve comunque elaborare le transazioni in modo efficiente e funzionare con wallet, applicazioni e infrastrutture esistenti.

Singapore ha già testato la tecnologia

La preparazione di Singapore è andata oltre le linee guida di policy. MAS e la Banque de France hanno completato un esperimento di crittografia post-quantum transfrontaliero utilizzando algoritmi resistenti al quantum per firmare e crittografare le comunicazioni su infrastrutture internet convenzionali.

Il test ha mostrato che la protezione post-quantum può funzionare attraverso i canali di comunicazione internazionali già esistenti. Una diffusione più ampia richiederà comunque alle banche di aggiornare certificati, sistemi di scambio delle chiavi e standard tecnici condivisi con altre istituzioni.

MAS dovrebbe pubblicare le proprie aspettative di vigilanza dettagliate più avanti nel 2026. Le tempistiche progressive riguarderanno inventari crittografici, priorità di migrazione e governance necessaria per supervisionare la transizione.

Per i lettori crypto, il titolo potrebbe inizialmente sembrare che Singapore stia chiedendo alle banche di divulgare le proprie detenzioni di asset digitali. La politica reale va oltre: il regolatore sta preparando la sicurezza alla base della finanza digitale per una minaccia che potrebbe in futuro colpire banche, reti di pagamento e blockchain allo stesso modo.

I computer quantistici non possono rompere oggi su larga scala la crittografia finanziaria moderna. Singapore si sta muovendo ora perché sostituire in sicurezza quella protezione potrebbe richiedere gran parte del decennio.