Komisja Usług Finansowych Korei Południowej (FSC) poinformowała 12 listopada 2026 r., że planuje wydać „list o niedziałaniu” (no-action letter), zezwalający giełdom kryptowalut na prewencyjne zamrażanie wpłat i wypłat w przypadku podejrzenia ataku hakerskiego, jeszcze przed potwierdzeniem naruszenia. Na moment ogłoszenia list nie został wydany, a jego warunki nie zostały opublikowane.

Zgodnie z ogłoszeniem FSC planowany list miałby być pisemnym zobowiązaniem regulacyjnym do niekarzenia giełd, które wstrzymają transakcje w określonych warunkach po wykryciu oznak potencjalnego ataku. Proponowane wytyczne przesunęłyby zatem punkt uruchomienia interwencji z potwierdzonego naruszenia na uzasadnione podejrzenie.

Propozycja polityki pojawia się na tle wzrostu liczby ataków na południowokoreańską infrastrukturę finansową. Według CryptoBriefing ponad 37 firm finansowych zostało dotkniętych incydentami cybernetycznymi między końcem września a początkiem listopada 2026 r. Incydenty te ujawniły około 473 000 rekordów i doprowadziły do kradzieży środków o wartości około 1 miliarda wonów, czyli około 700 000 dolarów. Z raportu wynika, że FSC zwołała 2 listopada posiedzenie nadzwyczajne w związku ze wzrostem liczby ataków.

Dwa ostatnie incydenty uwypukliły trudności, przed jakimi stoją giełdy w ramach poprzednich zasad — pokazując zarówno ryzyko prawne działania na podstawie samego podejrzenia, jak i koszt finansowy czekania na potwierdzenie. GOPAX, prowadzona przez Streami, wstrzymała działalność 6 listopada po otrzymaniu groźnego e-maila i przeniosła aktywa do zimnego magazynu, choć żadne naruszenie nie zostało potwierdzone. Działanie wyłącznie na podstawie podejrzenia umieściło GOPAX w szarej strefie prawnej i potencjalnie naraziło giełdę na kary regulacyjne.

Wcześniejszy incydent z udziałem południowokoreańskiej giełdy Prabang pokazał potencjalny koszt zwłoki w działaniu. Według KuCoin Prabang wstrzymała usługi 24 października po wykryciu nieprawidłowych wypłat z gorącego portfela. Zanim platforma zareagowała, utracono około 70 000 dolarów, czyli mniej więcej 100 milionów wonów. Prabang podobno zobowiązała się wypłacić odszkodowania poszkodowanym klientom ze środków własnych.

Audyt FSC ujawnia luki w bezpieczeństwie

FSC poinformowała, że ogólnokrajowy audyt bezpieczeństwa przeprowadzony w 555 firmach finansowych wykazał braki w cyberbezpieczeństwie w 130 z nich, co stanowi wskaźnik niepowodzeń na poziomie około 23% wśród zbadanych podmiotów.

Jak podaje komisja, posiedzenie dotyczące bezpieczeństwa branży aktywów wirtualnych, z którego wywodzą się planowane wytyczne, przewodniczył wiceprzewodniczący FSC Shin Jin-chang. FSC oświadczyła, że wymaga od wszystkich giełd utrzymywania monitoringu i obsady przez całą dobę.

Komisja dąży również do zwiększenia uczestnictwa w Koreańskim Instytucie Bezpieczeństwa Finansowego. Tylko pięć z 28 południowokoreańskich dostawców usług aktywów wirtualnych jest obecnie członkami instytutu, co pozostawia 23 firmy bez dostępu do usług takich jak oceny podatności na ataki, testy penetracyjne przeprowadzane przez white-hatów oraz całodobowa reakcja na incydenty. FSC wzywa pozostałych dostawców do przystąpienia. Na moment ogłoszenia jednak większość krajowego sektora krypto pozostawała poza tym instytucjonalnym ramami bezpieczeństwa.

India Crypto Research zauważyła na X, że regulatorzy nie mogli nakazać wypłaty odszkodowań po włamaniu na Upbit na mocy obowiązujących wtedy zasad. FSC od tego czasu pracuje nad odpowiedzialnością bez względu na winę, na podstawie której giełdy byłyby zobowiązane do rekompensowania użytkownikom strat spowodowanych włamaniami lub awariami — podobnie jak nakłada się to obowiązki na banki. Planowany list o niedziałaniu stanowi więc element szerszego wysiłku w Seulu na rzecz wyraźniejszej odpowiedzialności giełd.

Wymogi dotyczące zimnych portfeli tworzą kompromis operacyjny

Zgodnie z ogłoszoną polityką FSC giełdy muszą przechowywać co najmniej 80% aktywów klientów w zimnych portfelach, a komisja dąży do podniesienia tego minimum. Przechowywanie większej części aktywów offline może zmniejszyć podatność na ataki na gorące portfele, takie jak ten z udziałem Prabang. Może jednak tworzyć kompromis operacyjny: większe uzasadnione żądania wypłat mogą wymagać ręcznego przenoszenia aktywów z zimnych portfeli do gorących, co może spowolnić przetwarzanie w okresach dużego obciążenia.

Obecne wytyczne FSC nie odnoszą się do tego kompromisu, a regulatorzy nie określili publicznie, w jaki sposób zamierzają pogodzić wyższe wymogi dotyczące zimnego magazynu z oczekiwaniami użytkowników co do szybkości wypłat. Szczegóły listu o niedziałaniu również pozostają nierozstrzygnięte, w tym warunki kwalifikujące jako „uzasadnione podejrzenie”, maksymalny okres dozwolonego zamrożenia oraz ewentualne wymogi dotyczące powiadamiania użytkowników. Dopóki te warunki nie zostaną opublikowane, ani długość dozwolonego zamrożenia, ani powiadomienia, jakie otrzymaliby użytkownicy, nie są zdefiniowane.

Ustawa o aktywach cyfrowych ustanowi szerszą odpowiedzialność

FSC oświadczyła, że planuje uwzględnić w nadchodzącej ustawie o aktywach cyfrowych (Digital Asset Basic Act) postanowienia wymagające od dostawców usług aktywów wirtualnych spełniania standardów stabilności odpowiadających standardom branży finansowej oraz przyjęcia odpowiedzialności za szkody spowodowane włamaniami lub awariami operacyjnymi.

Po wejściu w życie postanowienia te przeniosłyby kluczowe obowiązki giełd z wytycznych regulacyjnych do prawa ustawowego. Mogłoby to zmniejszyć konieczność polegania na instrumentach takich jak listy o niedziałaniu w celu wypełniania przyszłych luk regulacyjnych. Egzekwowanie pozostaje jednak wyzwaniem. Przy 23 z 28 dostawców usług aktywów wirtualnych wciąż poza Koreańskim Instytutem Bezpieczeństwa Finansowego zdolność FSC do weryfikacji zgodności z wymogami całodobowego monitoringu oraz wskaźnikami zimnych portfeli jest ograniczona przez tę samą lukę w zasięgu instytucjonalnym, którą próbuje zlikwidować.

Korea Południowa doświadczyła też poważnych awarii bezpieczeństwa aktywów cyfrowych poza sektorem giełd kryptowalut. Osobny incydent z udziałem południowokoreańskich prokuratorów i Bitcoina (BTC) zilustrował szersze ryzyka bezpieczeństwa, przed którymi stoją instytucje obsługujące aktywa cyfrowe.

Jeśli zostanie wydana zgodnie z zapowiedzią, list o niedziałaniu usunąłby prawny czynnik zniechęcający giełdy do reagowania defensywnie na anomalie. Dla operatorów giełd i ich zespołów zarządzania ryzykiem płynności proponowana zmiana utworzyłaby pisemną bezpieczną przystań regulacyjną dla prewencyjnych zamrożeń. Kluczową nierozstrzygniętą kwestią pozostaje próg działania: konkretne kryteria określające, kiedy podejrzenie jest wystarczające, by uzasadnić wstrzymanie wpłat i wypłat. Dopóki FSC nie opublikuje tych kryteriów, bezpieczna przystań pozostaje zapowiedzianym planem, a nie obowiązującą zasadą.