Południowokoreańskie władze finansowe rozpoczęły kontrole na miejscu w Bithumb, jednej z największych giełd kryptowalut w Korei Południowej, po tym, jak giełda zgłosiła przesłanki wskazujące, że nienormalny dostęp z zewnątrz ujawnił dane pracowników, jednocześnie wciąż ustalając, czy doszło również do naruszenia danych klientów.

W komunikacie z 28 października Komisja Usług Finansowych (FSC) poinformowała, że informacje objęte incydentem dotyczą pracowników Bithumb, jego spółek zależnych oraz firm partnerskich. Podczas nadzwyczajnego posiedzenia Bithumb oświadczył, że objęty system wspiera pracę pracowników i nie jest częścią kluczowej infrastruktury obliczeniowej wykorzystywanej do handlu kryptowalutami.

Według FSC giełda nie potwierdziła wycieku żadnych informacji, które mogłyby zostać wykorzystane do oszukańczych płatności lub transferów kryptowalut, w tym adresów portfeli. Fakt ten jednak pozostawia szerszą ocenę możliwego wycieku danych klientów niedokończoną.

Regulatorzy uruchamiają wspólną reakcję na miejscu

Bezpośrednia reakcja łączy FSC, Nadzór Finansowy (Financial Supervisory Service) oraz Instytut Bezpieczeństwa Finansowego (Financial Security Institute) w ramach dochodzenia prowadzonego na miejscu. FSC poinformował, że agencje wymieniają się informacjami i ściśle współpracują w celu ustalenia przyczyny incydentu.

Zgodnie z komunikatem nadzwyczajne posiedzenie przewodniczył Yoo Young-joon, szef FSC ds. polityki finansów cyfrowych. Bithumb oraz DAXA, Sojusz Giełd Aktywów Cyfrowych pełniący funkcję wspólnego organu samoregulacyjnego dla giełd kryptowalut w kraju, dołączyli do organów nadzorczych i bezpieczeństwa, przedstawiając raport giełdy instytucjom koordynującym reakcję. Post FSC z 28 października również opisywał nadzwyczajne posiedzenie oraz rozpoczęcie kontroli na miejscu. Komunikat FSC opisuje zarówno działania agencji, jak i relację Bithumb na temat objętego systemu wspierającego pracowników.

Reakcja regulatora obejmuje również warunkowy plan odszkodowań. W przypadku doznania szkód przez konsumentów FSC planuje nadzorować środki ochronne, w tym pełne odszkodowanie.

Bithumb wskazał objęty system w swoim raporcie, podczas gdy prace regulatorów na miejscu mają na celu ustalenie przyczyny naruszenia. Ujawnienie dotyczące systemu pracowniczego oraz trwająca kontrola danych klientów pozostawiają śledztwu oddzielne kwestie do rozwiązania. FSC nie ogłosił zakończenia dochodzenia ani ostatecznej oceny wpływu na klientów.

FSC celuje w lukę bezpieczeństwa wykraczającą poza Bithumb

Równolegle do kontroli FSC przedstawił plany wzmocnienia bezpieczeństwa w firmach z branży aktywów wirtualnych oraz w innych sektorach, które według regulatora obecnie nie podlegają ustawie o transakcjach finansowych elektronicznych (Electronic Financial Transactions Act) – ustawie regulującej elektroniczne usługi płatnicze i transfery środków w bankach i innych licencjonowanych instytucjach finansowych. Południowokoreańskie firmy z branży aktywów wirtualnych rejestrują się obecnie jako dostawcy usług aktywów wirtualnych na podstawie krajowych przepisów dotyczących sprawozdawczości finansowej i przeciwdziałania praniu pieniędzy, a nie na podstawie tej ustawy. Regulator chce, aby ich zabezpieczenia odpowiadały poziomowi banków i innych głównych instytucji finansowych. Deklarowany cel obejmuje również gotowość do szybkiej reakcji w razie wystąpienia incydentu, co oznacza, że propozycja dotyczy zarówno standardów, jakie firmy powinny spełniać, jak i ich zdolności do reagowania po wystąpieniu naruszenia.

Komunikat z 28 października nie zawiera uchwalonego nowego wymogu ani terminu wdrożenia. Choć proponowana reakcja wymienia firmy kryptowalutowe, ogłoszenie pozostawia konkretne środki oraz ich harmonogram do ustalenia.

FSC umieścił swoją reakcję na sytuację w Bithumb obok ostatnio zgłaszanych incydentów w działach ubezpieczeń na życie i zarządzania aktywami Mirae Asset, a także dodatkowego wycieku danych klientów wykrytego podczas dochodzenia w Daishin Securities. Komunikat rozszerza uwagę regulatora na kilka sektorów finansowych, nie ustalając, że incydenty mają wspólną przyczynę techniczną.

Tłem jest szersza fala naruszeń w południowokoreańskim sektorze finansowym, zgłoszona 15 października, gdy FSC wymienił dwie inne firmy kryptowalutowe. Nowe ujawnienie Bithumb dodaje natychmiastową reakcję w postaci kontroli oraz konkretny plan dążenia do bezpieczeństwa na poziomie bankowym dla sektorów poza ustawą o finansach elektronicznych. Według FSC Bithumb poinformował, że wciąż sprawdza, czy doszło do wycieku jakichkolwiek danych klientów.