La Financial Services Commission (FSC) della Corea del Sud ha dichiarato il 12 novembre 2026 di avere in programma di emettere una “no-action letter” che consentirà agli exchange di criptovalute di bloccare preventivamente depositi e prelievi in caso di sospetto attacco informatico, anche prima che una violazione venga confermata. Al momento dell'annuncio la lettera non era stata ancora emessa e le sue condizioni non erano state pubblicate.

Secondo l'annuncio della FSC, la lettera prevista sarebbe un impegno regolamentare scritto a non sanzionare gli exchange che sospendono le transazioni in condizioni definite dopo aver rilevato segnali di un potenziale attacco. Le linee guida proposte sposterebbero quindi il fattore scatenante dell'intervento da una violazione confermata a un sospetto ragionevole.

La proposta arriva in un contesto di crescente numero di attacchi contro l'infrastruttura finanziaria sudcoreana. Secondo CryptoBriefing, oltre 37 società finanziarie sono state colpite da incidenti informatici tra fine settembre e inizio novembre 2026. Gli incidenti hanno esposto circa 473.000 record e causato la sottrazione di circa 1 miliardo di won, pari a circa 700.000 dollari. Il rapporto indica che la FSC ha convocato una riunione d'emergenza il 2 novembre, con l'aumento del volume degli attacchi.

Due episodi recenti hanno evidenziato le difficoltà degli exchange sotto le regole precedenti, illustrando sia il rischio legale di agire sulla base di un sospetto sia il costo finanziario dell'attesa della conferma. GOPAX, gestita da Streami, ha sospeso le operazioni il 6 novembre dopo aver ricevuto un'e-mail minatoria e ha spostato gli asset in cold storage, pur in assenza di una violazione confermata. Agire sul solo sospetto ha collocato GOPAX in una zona grigia dal punto di vista legale, esponendo potenzialmente l'exchange a sanzioni regolamentari.

Un episodio precedente che ha coinvolto l'exchange sudcoreano Prabang ha dimostrato il potenziale costo del ritardo nell'azione. Secondo KuCoin, Prabang ha interrotto i servizi il 24 ottobre dopo aver rilevato prelievi anomali da un hot wallet. Circa 70.000 dollari, ovvero circa 100 milioni di won, sono andati perduti prima che la piattaforma potesse intervenire. Prabang si sarebbe impegnata a compensare i clienti interessati con fondi aziendali.

L'audit della FSC individua lacune di sicurezza

La FSC ha dichiarato che un audit di sicurezza su scala di settore, condotto su 555 società finanziarie a livello nazionale, ha rilevato carenze di cybersecurity in 130 di esse, pari a un tasso di non conformità di circa il 23% tra le aziende esaminate.

Il vicepresidente della FSC, Shin Jin-chang, ha presieduto la riunione sulla sicurezza del settore degli asset virtuali che ha prodotto le linee guida previste, secondo la commissione. La FSC ha dichiarato di richiedere a tutti gli exchange il monitoraggio e il personale ininterrotti, 24 ore su 24.

La commissione punta inoltre ad ampliare la partecipazione alla Korea Financial Security Institute. Solo cinque dei 28 fornitori di servizi di asset virtuali della Corea del Sud sono attualmente membri, lasciando 23 società senza accesso a servizi come le valutazioni delle vulnerabilità, i test di penetrazione da parte di white hat e la risposta agli incidenti attiva 24 ore su 24. La FSC sta sollecitando gli altri fornitori ad aderire. Al momento dell'annuncio, tuttavia, la maggior parte del settore cripto nazionale restava fuori da tale quadro di sicurezza istituzionale.

India Crypto Research ha osservato su X che, dopo l'attacco a Upbit, le autorità di regolamentazione non potevano ordinare un risarcimento secondo le regole allora in vigore. La FSC ha lavorato da allora verso una responsabilità senza colpa in base alla quale gli exchange sarebbero tenuti a compensare gli utenti per le perdite causate da attacchi informatici o interruzioni, analogamente agli obblighi imposti alle banche. La no-action letter prevista fa quindi parte di un impegno più ampio a Seul per definire una più chiara responsabilità degli exchange.

I requisiti sui cold wallet creano compromessi operativi

Secondo la politica annunciata dalla FSC, gli exchange devono conservare almeno l'80% degli asset dei clienti in cold wallet, e la commissione intende innalzare tale minimo. Mantenere una quota maggiore di asset offline può ridurre l'esposizione agli attacchi agli hot wallet come quello che ha coinvolto Prabang. Può però creare un compromesso operativo: le richieste di prelievo legittime di maggiori dimensioni possono richiedere lo spostamento manuale di asset dai cold wallet agli hot wallet, rallentando potenzialmente l'elaborazione nei periodi di alta domanda.

Le attuali linee guida della FSC non affrontano tale compromesso, e le autorità non hanno specificato pubblicamente come bilanciare requisiti più stringenti sul cold storage con le aspettative degli utenti in merito alla velocità dei prelievi. Anche i dettagli della no-action letter restano irrisolti, incluse le condizioni che costituiranno “sospetto ragionevole”, la durata massima di un blocco consentito ed eventuali requisiti di notifica agli utenti. Finché tali condizioni non saranno pubblicate, né la durata di un blocco consentito né le notifiche agli utenti sono definite.

La Digital Asset Basic Act stabilirebbe una responsabilità più ampia

La FSC ha dichiarato di prevedere di includere nella prossima Digital Asset Basic Act disposizioni che richiedano ai fornitori di servizi di asset virtuali di rispettare standard di stabilità equivalenti a quelli del settore finanziario e di assumersi la responsabilità dei danni causati da attacchi informatici o guasti operativi.

Se approvate, tali disposizioni trasferirebbero gli obblighi chiave degli exchange dalle linee guida regolamentari alla legge. Ciò potrebbe ridurre la necessità di ricorrere a strumenti come le no-action letter per colmare future lacune regolamentari. L'applicazione resta comunque una sfida. Con 23 dei 28 fornitori di servizi di asset virtuali ancora fuori dalla Financial Security Institute, la capacità della FSC di verificare la conformità ai requisiti di monitoraggio 24 ore su 24 e ai rapporti di cold wallet è limitata dalla stessa lacuna di copertura istituzionale che tenta di colmare.

La Corea del Sud ha inoltre subito significativi fallimenti di sicurezza degli asset digitali anche al di fuori del settore degli exchange cripto. Un episodio separato che ha coinvolto procuratori sudcoreani e Bitcoin ha illustrato i più ampi rischi di sicurezza affrontati dalle istituzioni che gestiscono asset digitali.

Se emessa come annunciata, la no-action letter eliminerebbe un disincentivo legale per gli exchange a reagire in modo difensivo alle anomalie. Per gli operatori di exchange e i loro team di rischio di liquidità, la modifica proposta creerebbe un porto sicuro regolamentare scritto per i blocchi preventivi. La questione centrale irrisolta è la soglia di intervento: i criteri specifici che determineranno quando il sospetto è sufficiente a giustificare la sospensione di depositi e prelievi. Finché la FSC non pubblicherà tali criteri, il porto sicuro resta un piano annunciato piuttosto che una regola operativa.