De Zuid-Koreaanse Financial Services Commission (FSC) meldde op 12 november 2026 dat zij van plan is een “no-action letter” uit te geven die cryptocurrency-exchanges toestaat om proactief stortingen en opnames te bevriezen wanneer een hack wordt vermoed, zelfs voordat een inbreuk is bevestigd. Op het moment van de aankondiging was de brief nog niet uitgegeven en waren de voorwaarden niet gepubliceerd.

Volgens de aankondiging van de FSC zou de geplande brief een schriftelijke regulerende toezegging zijn om exchanges niet te bestraffen die transacties opschorten onder gedefinieerde voorwaarden na het detecteren van signalen van een mogelijke aanval. De voorgestelde richtlijn zou de drempel voor ingrijpen dus verschuiven van een bevestigde inbreuk naar een redelijk vermoeden.

Het beleidsvoorstel komt op het moment van een toename van aanvallen op de Zuid-Koreaanse financiële infrastructuur. Volgens CryptoBriefing werden tussen eind september en begin november 2026 meer dan 37 financiële bedrijven getroffen door cyberincidenten. De incidenten stelden circa 473.000 gegevens bloot en leidden tot ongeveer 1 miljard won, of zo'n $700.000, aan gestolen gelden. Volgens het rapport kwam de FSC op 2 november bijeen voor een spoedvergadering naarmate het aantal aanvallen toenam.

Twee recente incidenten benadrukten de moeilijkheid waarmee exchanges onder de vorige regels werden geconfronteerd, en illustreerden zowel het juridische risico van handelen op vermoeden als de financiële kosten van wachten op bevestiging. GOPAX, geëxploiteerd door Streami, schortte de bedrijfsvoering op 6 november op nadat een dreigende e-mail was ontvangen, en verplaatste activa naar cold storage, hoewel geen inbreuk was bevestigd. Handelen op basis van loutere vermoedens bracht GOPAX in een juridisch grijze zone en stelde de exchange mogelijk bloot aan regulerende sancties.

Een eerder incident involving de Zuid-Koreaanse exchange Prabang toonde de mogelijke kosten van uitstel aan. Volgens KuCoin staakte Prabang op 24 oktober haar diensten na het detecteren van afwijkende opnames uit een hot wallet. Circa $70.000, of ongeveer 100 miljoen won, ging verloren voordat het platform kon reageren. Prabang zou hebben toegezegd getroffen klanten te compenseren uit bedrijfsfondsen.

FSC-audit brengt beveiligingslekken aan het licht

De FSC meldde dat een sectorbrede beveiligingsaudit van 555 financiële bedrijven landelijk bij 130 daarvan tekortkomingen in cybersecurity aantoonde, wat neerkomt op een faalpercentage van ongeveer 23% onder de gecontroleerde bedrijven.

FSC-vicevoorzitter Shin Jin-chang leidde de veiligheidsbijeenkomst van de virtuele-assetsector die tot de geplande richtlijn leidde, aldus de commissie. De FSC meldde dat zij van alle exchanges eist dat zij monitoring en personeelscapaciteit rond de klok handhaven.

De commissie streeft er ook naar de deelname aan het Korea Financial Security Institute te vergroten. Slechts vijf van de 28 aanbieders van virtuele-assetdiensten in Zuid-Korea zijn momenteel lid, waardoor 23 bedrijven geen toegang hebben tot diensten zoals kwetsbaarheidsanalyses, penetratietests door white-hat hackers en 24-uurs incidentrespons. De FSC dringt er bij de overige aanbieders op aan lid te worden. Op het moment van de aankondiging bevond het merendeel van de binnenlandse cryptosector zich echter nog buiten dat institutionele beveiligingskader.

India Crypto Research merkte op X op dat toezichthouders na de Upbit-hack geen compensatie konden opleggen onder de toen geldende regels. De FSC werkt sindsdien toe naar aansprakelijkheid zonder foutvereiste, waarbij exchanges gebruikers zouden moeten compenseren voor verliezen door hacks of storingen, vergelijkbaar met de verplichtingen die aan banken worden opgelegd. De geplande no-action letter maakt daarom deel uit van een bredere inspanning in Seoel om een duidelijkere verantwoordingsplicht voor exchanges vast te stellen.

Cold-walletvereisten creëren operationele afwegingen

Onder het aangekondigde beleid van de FSC moeten exchanges ten minste 80% van de klantactiva in cold wallets aanhouden, en de commissie streeft ernaar dat minimum te verhogen. Het offline houden van een groter deel van de activa kan de blootstelling aan hot-walletaanvallen verminderen, zoals het incident involving Prabang. Het kan ook een operationele afweging creëren: grotere legitieme opnameverzoeken kunnen vereisen dat activa handmatig van cold wallets naar hot wallets worden verplaatst, wat de verwerking tijdens periodes van hoge vraag mogelijk kan vertragen.

De huidige richtlijn van de FSC gaat niet in op die afweging, en toezichthouders hebben niet publiek gespecificeerd hoe zij hogere cold-storagevereisten in balans zouden brengen met de verwachtingen van gebruikers over opnamesnelheid. Ook de details van de no-action letter staan nog open, waaronder de voorwaarden die als “redelijk vermoeden” kwalificeren, de maximale duur van een toegestane bevriezing en eventuele meldingsvereisten aan gebruikers. Tot die voorwaarden zijn gepubliceerd, is noch de duur van een toegestane bevriezing noch de melding die gebruikers zouden ontvangen gedefinieerd.

Digital Asset Basic Act zou bredere aansprakelijkheid vaststellen

De FSC meldde dat zij voornemens is bepalingen op te nemen in het komende Digital Asset Basic Act die vereisen dat aanbieders van virtuele-assetdiensten voldoen aan stabiliteitsnormen die gelijkwaardig zijn aan die in de financiële sector, en dat zij aansprakelijk zijn voor schade veroorzaakt door hacks of operationele storingen.

Indien aangenomen, zouden die bepalingen kernverplichtingen voor exchanges van regulerende richtlijnen naar wettelijk recht verplaatsen. Dat zou de noodzaak kunnen verminderen om te vertrouwen op instrumenten zoals no-action letters om toekomstige regulerende leemtes aan te pakken. Handhaving blijft echter een uitdaging. Nu 23 van de 28 aanbieders van virtuele-assetdiensten nog steeds buiten het Financial Security Institute vallen, wordt het vermogen van de FSC om naleving van 24-uurs monitoringsvereisten en cold-walletverhoudingen te verifiëren beperkt door dezelfde institutionele dekkingskloof die zij probeert te dichten.

Zuid-Korea heeft ook aanzienlijke beveiligingsincidenten met digitale activa meegemaakt buiten de cryptobeurtssector. Een afzonderlijk incident involving Zuid-Koreaanse aanklagers en Bitcoin illustreerde de bredere beveiligingsrisico's waarmee instellingen die met digitale activa omgaan worden geconfronteerd.

Indien uitgegeven zoals aangekondigd, zou de no-action letter een juridische ontmoediging voor exchanges wegnemen om defensief te reageren op afwijkingen. Voor exploitanten van exchanges en hun liquiditeitsrisicoteams zou de voorgestelde wijziging een schriftelijk regulerend safe harbor creëren voor proactieve bevriezingen. De centrale onopgeloste kwestie is de drempel voor actie: de specifieke criteria die bepalen wanneer een vermoeden voldoende is om het opschorten van stortingen en opnames te rechtvaardigen. Tot de FSC die criteria publiceert, blijft de safe harbor een aangekondigd plan in plaats van een operationele regel.