Korea Południowa przygotowuje się do przyznania giełdom kryptowalut większej swobody w wstrzymywaniu transakcji klientów, gdy podejrzewane włamanie może przejść w rzeczywistą stratę. Komisja Usług Finansowych (FSC) poinformowała 12 listopada, że planuje wydać wytyczne regulacyjne pozwalające giełdom wstrzymywać wpłaty i wypłaty, gdy nietypowa aktywność wskazuje na możliwe naruszenie bezpieczeństwa.

Plan, przedstawiony w komunikacie opublikowanym na stronie FSC, stanowi część szerszego wysiłku na rzecz dostosowania standardów bezpieczeństwa kryptoaktywów w kraju do poziomu stosowanego wobec tradycyjnych instytucji finansowych.

Zamrażanie transferów przed potwierdzeniem włamania

Zgodnie z ustawą o ochronie użytkowników aktywów wirtualnych, która weszła w życie w lipcu 2024 r., platformy nie mogą ograniczać wpłat ani wypłat bez uzasadnionej przyczyny. Wstrzymanie jest uzasadnione po potwierdzeniu incydentu hakerskiego, jednak przepisy nie rozstrzygały, co giełdy mogą zrobić, gdy podejrzana aktywność pojawi się przed potwierdzeniem naruszenia.

FSC zamierza teraz wypełnić tę lukę. Regulator wyda pozycję „no-action” zezwalającą na profilaktyczne ograniczenia zawsze wtedy, gdy istnieją podstawy, by przypuszczać, że doszło do włamania lub nieautoryzowanego dostępu. Taka pozycja oznacza, że komisja nie zamierza prowadzić działań egzekucyjnych wobec giełd, które wstrzymają usługi z tych powodów. Celem jest, aby platformy reagowały na tyle szybko, by zminimalizować straty klientów, zamiast czekać, aż włamanie będzie już w pełni w toku.

Strategia pojawia się na tle niedawnych zagrożeń bezpieczeństwa w koreańskim sektorze krypto. 6 listopada GOPAX, południowokoreańska giełda aktywów wirtualnych, ogłosiła zagrożenie atakiem hakerskim, wstrzymując wpłaty, wypłaty i handel. Incydent uwypuklił niepewność, z jaką operatorzy borykali się, oceniając reakcję na podejrzaną aktywność przed potwierdzeniem jakiegokolwiek naruszenia.

Monitoring 24/7 i kontrola walletów hot

FSC chce również, aby giełdy prowadziły ciągły monitoring dostosowany do całodobowego środowiska handlu kryptoaktywami. Platformy powinny utrzymywać personel zdolny do identyfikowania nietypowych transakcji i niezwłocznego stosowania skutecznych kontroli. Giełdy, które nie są w stanie zapewnić ciągłego monitoringu, powinny przetwarzać wpłaty i wypłaty tylko w okresach, gdy służba obejmuje wystarczająca liczba pracowników ds. bezpieczeństwa.

Rząd Korei Południowej już wcześniej nakłaniał dostawców usług aktywów wirtualnych (VASP) do przechowywania co najmniej 80% aktywów wirtualnych klientów w walletach cold, czyli magazynach offline niepodłączonych do internetu. Według FSC wskaźnik przechowywania cold w branży przekracza już 95%, a operatorzy powinni utrzymywać zasoby w walletach hot — walletach podłączonych do internetu, używanych do obsługi bieżących transferów — na poziomie nie większym, niż jest to konieczne dla normalnej działalności.

Regulator dodatkowo zalecił giełdom rozpraszanie środków z walletów hot na więcej niż jeden wallet — praktykę, która ogranicza skalę ekspozycji w razie kompromitacji pojedynczego walleta — oraz utrzymywanie odpowiedniego ubezpieczenia i rezerw na wypadek naruszenia, by móc zrekompensować straty użytkowników.

Rozszerzone kontrole bezpieczeństwa

Plan przewiduje też większe zaangażowanie Financial Security Institute. FSC podała, że tylko pięć giełd spośród 28 dostawców usług aktywów wirtualnych przystąpiło do instytutu i uzyskało jego zatwierdzenie, co oznacza, że większość koreańskich VASP pozostaje poza jego dotychczasowym systemem kontroli. Operatorzy obecnie zabiegają o udział, a władze planują rozszerzyć wywiad zagrożeń, oceny podatności i szkolenia z cyberbezpieczeństwa na większą liczbę z nich.

Oczekuje się również, że instytut wzmocni kryteria kontroli transakcji, bezpieczeństwa dostępu do walletów oraz integralności blockchainów i smart kontraktów.

Równolegle FSC opracowuje bardziej wszechstronne przepisy o finansach cyfrowych, które nałożyłyby na dostawców aktywów wirtualnych wymogi cyberbezpieczeństwa podobne do stosowanych w regulacjach bankowych. Regulatorzy chcą także, aby podejrzane naruszenia i nietypowe próby dostępu z zewnątrz były niezwłocznie zgłaszane władzom finansowym. Prace toczą się na dwóch torach: krótkoterminowych wytycznych regulacyjnych umożliwiających profilaktyczne zamrażanie środków oraz długofalowym ustawodawstwie, które zakotwiczyłoby obowiązki cyberbezpieczeństwa dostawców aktywów wirtualnych w ramach wzorowanym na bankowych.