Zuid-Korea is van plan cryptobeurzen meer ruimte te geven om klanttransacties te stopzen wanneer een vermoede hack kan uitgroeien tot een daadwerkelijk verlies. De Financial Services Commission (FSC) meldde op 12 november dat toezichthoudende richtlijnen zullen worden uitgegeven waardoor beurzen stortingen en opnames kunnen opschorten wanneer afwijkende activiteit op een mogelijke inbreuk van de beveiliging duidt.

Het plan, uiteengezet in een aankondiging gepubliceerd op de website van de FSC, maakt deel uit van een bredere inspanning om de cryptobeveiligingsnormen van het land in lijn te brengen met die voor traditionele financiële instellingen.

Transacties bevriezen voordat een hack is bevestigd

Onder de Virtual Asset User Protection Act, die in juli 2024 van kracht werd, mogen platforms stortingen en opnames niet beperken zonder legitieme reden. Een opschorting is gerechtvaardigd zodra een hackincident is bevestigd, maar de regels lieten onopgelost wat beurzen mogen doen wanneer verdachte activiteit ontstaat voordat een inbreuk is geverifieerd.

De FSC wil die leemte nu opvullen. De toezichthouder zal een no-action positie uitgeven die preventieve beperkingen toestaat telkens wanneer er reden is om aan te nemen dat hacking of ongeautoriseerde toegang heeft plaatsgevonden. Een dergelijke positie geeft aan dat de commissie niet voornemens is handhavingsmaatregelen te nemen tegen beurzen die diensten op deze gronden stilleggen. Het doel is dat platforms snel genoeg reageren om klantverliezen te minimaliseren in plaats van te wachten tot een inbraak al volop gaande is.

De strategie komt te midden van recente veiligheidsdreigingen in de cryptosector van Zuid-Korea. Op 6 november kondigde GOPAX, een Zuid-Koreaanse beurs voor virtuele activa, een hackdreiging aan, waarbij stortingen, opnames en handel werden opgeschort. Het voorval onderstreepte de onzekerheid waarmee exploitanten te maken kregen bij het afwegen van reacties op verdachte activiteit voordat een inbreuk is bevestigd.

24/7-monitoring en controles op hot wallets

De FSC wil ook dat beurzen continue monitoring toepassen die is aangepast aan de rond-de-klok-handelsomgeving van crypto. Platforms dienen personeel te hebben dat afwijkende transacties kan identificeren en zonder vertraging effectieve controles kan toepassen. Beurzen die continue monitoring niet kunnen waarborgen, moeten stortingen en opnames alleen verwerken tijdens perioden waarin voldoende beveiligingspersoneel beschikbaar is.

De Zuid-Koreaanse regering dringt er al op aan dat aanbieders van diensten rond virtuele activa (VASPs) ten minste 80% van de virtuele activa van klanten bewaren in cold wallets, offline opslag die niet met het internet is verbonden. Volgens de FSC ligt de verhouding van cold storage in de sector al boven de 95%, en exploitanten dienen hun hot wallet-bezittingen — de met internet verbonden wallets die worden gebruikt voor dagelijkse transacties — niet groter te houden dan nodig is voor de normale bedrijfsvoering.

De toezichthouder adviseerde beurzen daarnaast om hot wallet-middelen over meer dan één wallet te verdelen, een praktijk die beperkt hoeveel wordt blootgesteld mocht één enkele wallet worden gecompromitteerd, en om voldoende verzekeringen en reserves aan te houden om gebruikers te compenseren in geval van een inbreuk.

Uitgebreide beveiligingscontroles

Het plan voorziet ook in grotere betrokkenheid van het Financial Security Institute. De FSC meldde dat slechts vijf beurzen van de 28 aanbieders van diensten rond virtuele activa zich bij het instituut hebben aangesloten en goedkeuring hebben verkregen, waardoor de meerderheid van de VASPs van het land tot op heden buiten het beoordelingskader viel. Exploitanten willen nu deelnemen en de autoriteiten zijn van plan om meer van hen dreigingsinformatie, kwetsbaarheidsbeoordelingen en cybersecuritytraining aan te bieden.

Van het instituut wordt eveneens verwacht dat het de criteria voor transactiecontroles, beveiliging van wallettoegang en de integriteit van blockchains en smart contracts aanscherpt.

Parallel daaraan werkt de FSC aan meeromvattende wetgeving voor digitale financiën die cybersecurityvereisten zou opleggen aan aanbieders van virtuele activa die vergelijkbaar zijn met die welke onder bankregelgeving gelden. Toezichthouders willen ook dat vermoedelijke inbreuken en afwijkende externe toegangspogingen snel aan financiële autoriteiten worden gemeld. Het werk vordert op twee sporen: kortetermijnrichtlijnen die preventieve bevriezingen mogelijk maken, en langetermijnwetgeving die cybersecurityverplichtingen voor aanbieders van virtuele activa verankert in een bankachtig kader.