Hongkong zakazuje logowania za pomocą SMS i e-maili na platformach kryptowalutowych: Czy inni regulatorzy pójdą w ich ślady?

Hongkońska agencja regulacyjna ds. papierów wartościowych zakazała logowania za pomocą jednorazowych haseł dla platform handlu kryptowalutami. Zasada ta ma na celu zwalczanie oszustw phishingowych, które przyczyniły się do wzrostu incydentów związanych z cyberbezpieczeństwem w regionie.

Komisja Papierów Wartościowych i Terminowych wydała okólnik. Nakazuje on brokerom internetowym i platformom handlu kryptowalutami zrezygnowanie z jednorazowych haseł SMS, e-mailowych i aplikacyjnych.

Platformy muszą przełączyć logowanie klientów i powiązanie urządzeń na klucze dostępu i inne metody odporne na phishing. Operatorzy mają 12 miesięcy na dostosowanie się, chociaż duzi brokerzy muszą to zrobić natychmiast. SFC zwróciła uwagę na ryzyko związane z OTP w wytycznych z lutego 2025 roku. Ten okólnik teraz czyni tę zmianę obowiązkową.

Phishing napędza rekordowy rok dla incydentów cybernetycznych

Hongkong odnotował 15 877 incydentów związanych z cyberbezpieczeństwem w 2025 roku. SFC twierdzi, że to oznacza wzrost o 27% w porównaniu do poprzedniego roku. Phishing stanowił 57% tych przypadków. Ataki botnetowe zajęły drugie miejsce z 18%, a złośliwe oprogramowanie znalazło się na trzecim miejscu z 15%.

Całkowita liczba incydentów w 2025 roku jest ponad dwukrotnie wyższa niż 7 752 incydenty odnotowane w 2023 roku.

Globalne straty związane z phishingiem powiązanym z portfelami kryptowalutowymi wyniosły około 306 milionów dolarów tylko w I kwartale 2026 roku. W konsekwencji ta kwota skłoniła SFC do działania. Napastnicy coraz częściej polegają na skradzionych danych uwierzytelniających, a nie na technicznych exploitach, aby celować w użytkowników kryptowalut. BeInCrypto śledziło podobny wzór w tym miesiącu, gdy podpis phishingowy wyczerpał 999 999 USD w USDT z jednego portfela Ethereum.

Nowe zasady skłaniają platformy kryptowalutowe do korzystania z kluczy dostępu

Platformy muszą oznaczać podejrzane logowania, transakcje i wypłaty. Muszą również informować klientów o kluczowych wydarzeniach związanych z kontem. Eric Yip z SFC powiedział, że firmy potrzebują solidnej autoryzacji połączonej z szybkim reagowaniem na incydenty. Mimo to, sama prewencja rzadko zatrzymuje zdeterminowanego napastnika, dodał.

Tymczasem zdecentralizowane platformy kryptograficzne stają w obliczu podobnych zagrożeń. Fałszywy scam airdrop phishingowy niedawno wyłudził 12 300 USD od użytkownika HyperSwap w mniej niż 90 sekund. Podobnie, fałszywa strona phishingowa Uniswap wyciągnęła około 400 000 USD z wielu portfeli w tym samym czasie. Te przypadki pokazują, że zakaz OTP dotyczy tylko części szerszego problemu kradzieży danych uwierzytelniających, z którym boryka się przemysł kryptograficzny.

Globalni regulatorzy stają w obliczu tego samego nacisku phishingowego

SFC teraz pociąga wyższe kierownictwo do odpowiedzialności za straty klientów. Ponadto, słabe kontrole cyberbezpieczeństwa wywołają tę odpowiedzialność, co stanowi surowszy standard niż wcześniejsze wytyczne. Firmy, które nie dotrzymają 12-miesięcznego terminu, ryzykują działania egzekucyjne i szkody reputacyjne w całym sektorze kryptograficznym. Duże biura maklerskie podlegają natychmiastowej kontroli w ramach nowego terminu.

Regulatorzy w innych miejscach stają w obliczu tego samego nacisku phishingowego. Globalna akcja FBI przeciwko cyberprzestępczości oraz zamrożenie aktywów związanych z przestępczością kryptograficzną przez Tether z jednostką T3 TRON celują w sieci zbudowane na skradzionych danych uwierzytelniających. Zakaz w Hongkongu stawia teraz jasne pytanie dla rówieśników w Singapurze, Wielkiej Brytanii i poza nią. Czy inni regulatorzy wprowadzą własne mandaty odporne na phishing, czy najpierw poczekają na wzrost strat?

Źródło: BeInCrypto