De Zuid-Koreaanse financiële autoriteiten zijn ter plaatse inspecties gestart bij Bithumb, een van de grootste cryptobeurzen van Zuid-Korea, nadat de beurs meldde dat er aanwijzingen waren dat afwijkende externe toegang werknemersgegevens had blootgelegd, terwijl nog wordt onderzocht of ook klantgegevens zijn gecompromitteerd.

In een mededeling van 28 oktober zei de Financial Services Commission (FSC) dat de bij het incident betrokken informatie betrekking heeft op werknemers van Bithumb, haar dochterondernemingen en partnerbedrijven. Tijdens een spoedoverleg zei Bithumb dat het getroffen systeem het werk van medewerkers ondersteunt en geen deel uitmaakt van de kerncomputervoorzieningen die worden gebruikt voor cryptohandel.

Volgens de FSC heeft de beurs geen lekkage bevestigd van informatie die zou kunnen worden gebruikt voor frauduleuze betalingen of cryptooverboekingen, waaronder walletadressen. Die bevinding laat echter de bredere beoordeling van mogelijke blootstelling van klantgegevens onvoltooid.

Toezichthouders mobiliseren gezamenlijke respons ter plaatse

De directe reactie brengt de FSC, de Financial Supervisory Service en het Financial Security Institute samen in een onderzoek ter plaatse. De FSC zei dat de instanties informatie delen en nauw samenwerken om de oorzaak van het incident vast te stellen.

Volgens de mededeling werd het spoedoverleg geleid door Yoo Young-joon, hoofd digitaal financieringsbeleid bij de FSC. Bithumb en DAXA, de Digital Asset Exchange Alliance die optreedt als gezamenlijk zelfregulerend orgaan voor cryptobeurzen in het land, voegden zich bij de toezichts- en veiligheidsinstanties en presenteerden het rapport van de beurs aan de instellingen die de reactie coördineren. Een bericht van de FSC op 28 oktober beschreef eveneens het spoedoverleg en de start van de inspecties ter plaatse. De mededeling van de FSC zet zowel de acties van de instanties uiteen als het account van Bithumb over het getroffen systeem voor medewerkersondersteuning.

De reactie van de toezichthouder omvat ook een voorwaardelijk compensatieplan. Als consumenten schade lijden, is het plan van de FSC om beschermende maatregelen te bewaken, waaronder volledige compensatie.

Bithumb heeft het getroffen systeem geïdentificeerd in zijn rapport, terwijl het onderzoek ter plaatse van de toezichthouders zich richt op het vaststellen van de oorzaak van de inbreuk. De openbaarmaking over het medewerkerssysteem en het lopende onderzoek naar klantgegevens laten de onderzoek met afzonderlijke vragen achter. De FSC heeft geen afgerond onderzoek of definitieve beoordeling van de impact op klanten aangekondigd.

FSC richt zich op beveiligingslekken buiten Bithumb

Naast de inspecties schetste de FSC plannen om de beveiliging te versterken bij bedrijven in virtuele activa en in andere sectoren die volgens de toezichthouder momenteel buiten de Electronic Financial Transactions Act vallen, de wetgeving die elektronische betaal- en geldoverboekingsdiensten bij banken en andere gelicenseerde financiële instellingen regelt. Zuid-Koreaanse bedrijven in virtuele activa registreren zich momenteel als aanbieders van virtuele activa onder de financiële rapportage- en antimwitwasregels van het land, en niet onder die wet. De toezichthouder wil dat hun beveiligingsmaatregelen gelijkwaardig zijn aan die van banken en andere grote financiële instellingen. Het gestelde doel omvat ook gereedheid om snel te reageren wanneer een incident plaatsvindt, wat betekent dat het voorstel zowel gaat over de normen waaraan bedrijven moeten voldoen als over hun vermogen om te reageren zodra een inbreuk plaatsvindt.

De mededeling van 28 oktober bevat geen ingevoerde nieuwe eis of implementatietermijn. Hoewel het voorgestelde antwoord cryptobedrijven noemt, laat de aankondiging de specifieke maatregelen en hun timing nog vaststellen.

De FSC plaatste haar reactie op Bithumb naast recent gemelde incidenten bij de levenverzekerings- en vermogensbeheeractiviteiten van Mirae Asset, evenals aanvullende blootstelling van klantgegevens die werd ontdekt tijdens het onderzoek van Daishin Securities. De mededeling verruimt de aandacht van de toezichthouder naar meerdere financiële sectoren, zonder vast te stellen dat de incidenten een gemeenschappelijke technische oorzaak delen.

De achtergrond is de bredere golf van datalekken in de Zuid-Koreaanse financiële sector die op 15 oktober werd gemeld, toen de FSC twee andere cryptobedrijven noemde. De nieuwe openbaarmaking van Bithumb voegt een onmiddellijke inspectiereactie toe en een concreet plan om beveiliging op bankniveau na te streven voor sectoren buiten de elektronische financieringswet. Volgens de FSC heeft Bithumb gemeld dat nog wordt onderzocht of klantgegevens zijn gelekt.