• Закон о защите пользователей виртуальных активов в настоящее время разрешает приостанавливать операции только при подтверждении факта взлома.

• Биржи, не способные обеспечить круглосуточный мониторинг, могут обрабатывать внесение и вывод средств только в часы работы персонала.

• Южная Корея требует хранить в холодных кошельках не менее 80% криптовалюты клиентов; в отрасли этот показатель превышает 95%.

Письмо FSC об отказе от применения мер открывает путь к превентивной заморозке операций

В четверг Комиссия по финансовым услугам Южной Кореи заявила, что выдаст письмо об отказе от применения мер, которое позволит криптовалютным биржам приостанавливать внесение и вывод средств при подозрении на попытку взлома — до подтверждения самого инцидента. Решение было принято на совещании по вопросам безопасности в Сеуле под председательством заместителя председателя FSC Шин Джин-чхана. В тот же день регулятор изложил план в официальном заявлении.

Согласно Закону о защите пользователей виртуальных активов, биржи не могут блокировать внесение и вывод средств клиентами без законных оснований, а закон допускает ограничения только при явном подтверждении факта взлома. Такая формулировка оставляла платформы в неопределённом положении: необычные переводы или подозрительная активность аккаунта часто появляются до того, как факт вторжения доказан, но раннее реагирование сопряжено с юридическими рисками. Письмо о неприменении санкций устраняет этот пробел, предоставляя регуляторные гарантии превентивным приостановкам, отвечающим установленным условиям. Оно не даёт биржам неограниченных полномочий замораживать средства клиентов.

Комиссия по финансовым услугам (FSC) сопроводила это изменение операционными требованиями. Биржам следует наладить мониторинг с учётом круглосуточного режима работы рынка, обеспечить доступность ответственных сотрудников для расследования подозрительных транзакций и незамедлительно реагировать, когда активность указывает на проблему безопасности. Платформы, не способные обеспечить круглосуточный надзор, будут обрабатывать внесение и вывод средств только в часы присутствия персонала — предварительно уведомив клиентов и выделив достаточно сотрудников для оперативной обработки заявок на вывод.

Правила хранения активов занимают центральное место в пакете мер. Южная Корея уже обязывает поставщиков услуг виртуальных активов хранить не менее 80% криптовалют клиентов в холодных кошельках, а FSC сообщила, что общий по отрасли показатель холодного хранения превышает 95%, хотя у отдельных бирж доли различаются. Согласно новым рекомендациям, операторам следует ограничивать остатки в горячих кошельках суммами, необходимыми для обычных транзакций, рассмотреть возможность распределения средств между несколькими кошельками, а также иметь достаточное страховое покрытие и резервы для компенсации клиентам, пострадавшим от взлома. Регулятор также поручил операторам пересмотреть имеющееся страховое покрытие и финансовые резервы.

Приостановка работы GOPAX и взлом Prabang стали поводом для принятия мер

Эти меры стали ответом на череду инцидентов, вызвавших тревогу на южнокорейских площадках. 6 ноября GOPAX приостановила спотовую торговлю, внесение средств и стандартный вывод после получения письма с угрозой кибератаки. Биржа перевела активы клиентов в холодное хранилище на время расследования и заявила, что не обнаружила ни фактической попытки взлома, ни кражи. Клиенты по-прежнему могли запрашивать вывод средств через каналы поддержки, при этом каждый запрос проверялся вручную.

Случай Prabang был более серьёзным. 24 октября платформа приостановила работу после обнаружения аномальных выводов из горячего кошелька, сообщила об убытках примерно в 70 000 долларов и обязалась компенсировать пострадавшим клиентам потери за счёт средств компании. В ходе октябрьской проверки 555 финансовых компаний по всей стране FSC выявила недостатки в сфере кибербезопасности у 130 из них. Кроме того, комиссия включила оператора GOPAX, компанию Streami, и Prabang в число 16 компаний, связанных с более ранними инцидентами безопасности.

Регуляторы намерены укрепить защиту всей отрасли. На заседании Шин заявил, что компании, работающие с виртуальными активами, должны придерживаться стандартов безопасности, сопоставимых со стандартами традиционных финансовых учреждений, поскольку они хранят активы клиентов и управляют ими. Институт финансовой безопасности Южной Кореи расширит поддержку криптовалютного бизнеса, предоставляя аналитические данные об угрозах, оценки уязвимостей и специализированное обучение, хотя пока к институту присоединились лишь пять из 28 зарегистрированных поставщиков услуг виртуальных активов. FSC планирует поощрять вступление новых участников и предлагать альтернативную поддержку операторам, которые не могут присоединиться. К концу 2026 года институт намерен обновить стандарты проверок безопасности, включив в них подтверждение транзакций, контроль доступа к кошелькам, блокчейн-системы и смарт-контракты, в том числе способы защиты платформами закрытых ключей, связанных с кошельками клиентов. Предлагаемый Закон о цифровых активах предусматривает более строгие требования: криптовалютные компании должны будут соблюдать стандарты IT-безопасности и нести ответственность за ущерб наравне с финансовыми учреждениями. Кроме того, FSC намерена требовать незамедлительно сообщать финансовым властям о предполагаемых нарушениях и необычных попытках внешнего доступа.

Рекомендации — сейчас, обязательный закон — позже

Письмо меняет рекомендации по поведению, но не сам закон: Закон о защите пользователей виртуальных активов по-прежнему требует наличия законных оснований для ограничений, а обязательства закреплены в предлагаемом Законе о цифровых активах, который ещё не принят. Ближайшая проверка будет носить практический характер. В отличие от децентрализованной биржи (DEX), централизованные южнокорейские площадки напрямую хранят активы клиентов, поэтому требование к штату фактически превращает расходы на безопасность в политику определения часов торговли для платформ, не способных вести непрерывный мониторинг. Обновлённые стандарты проверок института, которые должны быть готовы к концу 2026 года, покажут, смогут ли 23 оператора, не входящие в институт, устранить этот пробел или отстанут от пяти бирж, уже работающих в рамках этой системы.