Hong Kong vieta l'accesso tramite SMS e email per le piattaforme crypto: altri regolatori seguiranno?

L'autorità di regolamentazione dei titoli di Hong Kong ha vietato i login con password monouso per le piattaforme di trading di criptovalute. La regola mira a contrastare le truffe di phishing dietro un aumento degli incidenti di cybersicurezza nella regione.

La Commissione per i Titoli e i Futures ha emesso un circolare. Ordina ai broker online e alle piattaforme di trading di criptovalute di abbandonare gli OTP basati su SMS, email e app.

Le piattaforme devono passare dai login dei clienti e dal binding dei dispositivi a passkey e ad altri metodi resistenti al phishing. Gli operatori hanno 12 mesi per conformarsi, anche se i grandi broker devono passare immediatamente. La SFC aveva segnalato i rischi degli OTP già nella guida di febbraio 2025. Questo circolare rende ora quel cambiamento obbligatorio.

Il phishing alimenta un anno record per gli incidenti informatici

Hong Kong ha registrato 15.877 incidenti di cybersicurezza nel 2025. La SFC afferma che ciò segna un aumento del 27% rispetto all'anno precedente. Il phishing ha rappresentato il 57% di quei casi. Gli attacchi botnet sono seguiti con il 18%, e il malware ha chiuso con il 15%.

Il totale del 2025 è più del doppio dei 7.752 incidenti registrati nel 2023.

Le perdite globali da phishing legate ai portafogli di criptovalute hanno raggiunto circa 306 milioni di dollari solo nel primo trimestre del 2026. Di conseguenza, quella cifra ha spinto la SFC all'azione. Gli attaccanti si affidano sempre più a credenziali rubate piuttosto che a exploit tecnici per colpire gli utenti di criptovalute. BeInCrypto ha tracciato un modello simile questo mese, poiché una firma di phishing ha drenato 999.999 dollari in USDT da un singolo portafoglio Ethereum.

Nuove regole spingono le piattaforme di criptovalute verso le passkey

Le piattaforme devono segnalare accessi, scambi e prelievi sospetti. Devono anche notificare ai clienti eventi chiave dell'account. Eric Yip della SFC ha dichiarato che le aziende hanno bisogno di un'autenticazione robusta abbinata a una rapida risposta agli incidenti. Tuttavia, la sola prevenzione raramente ferma un attaccante determinato, ha aggiunto.

Nel frattempo, le piattaforme crypto decentralizzate affrontano minacce simili. Una truffa di phishing tramite airdrop falso ha recentemente prosciugato $12,300 da un utente di HyperSwap in meno di 90 secondi. Allo stesso modo, un sito di phishing falso di Uniswap ha prelevato circa $400,000 da più portafogli nello stesso periodo. Questi casi dimostrano che il divieto di OTP affronta solo una parte di un problema più ampio di furto di credenziali che affligge l'industria crypto.

I regolatori globali affrontano la stessa pressione del phishing

La SFC ora rende direttamente responsabili i dirigenti senior per le perdite dei clienti. Inoltre, controlli di cybersecurity deboli attiveranno tale responsabilità, uno standard più rigoroso rispetto alle linee guida precedenti. Le aziende che mancano la scadenza di 12 mesi rischiano azioni di enforcement e danni reputazionali in tutto il settore crypto. I grandi broker affrontano un controllo immediato sotto la nuova scadenza.

I regolatori altrove affrontano la stessa pressione del phishing. L'operazione globale contro il cybercrimine dell'FBI e i congelamenti di asset per crimine crypto di Tether con l'unità T3 di TRON mirano entrambi a reti costruite su credenziali rubate. Il divieto di Hong Kong solleva ora una chiara domanda per i colleghi a Singapore, nel Regno Unito e oltre. Altri regolatori seguiranno con i propri mandati resistenti al phishing, o aspetteranno prima che le perdite aumentino?

Fonte: BeInCrypto