Hongkongs SFC ordnet an: Krypto-Plattformen sollen OTP-Logins abschaffen
Die Securities and Futures Commission (SFC) von Hongkong hat lizenzierte Krypto-Plattformen und Internet-Broker angewiesen, die Nutzung von OTP-Logins zur Kunden-Authentifizierung und zur Gerätebindung zu beenden. Die SFC sagt, Unternehmen hätten bis zu 12 Monate ab der Mitteilung vom 9. Juli Zeit, um eine phishing-resistente Authentifizierung einzuführen.
Die Vorgabe richtet sich an OTP, das per SMS, E-Mail oder Authenticator-Apps zugestellt wird. Der Regulator argumentiert, dass diese sich weiterhin über gespoofte Login-Seiten und Echtzeit-Account-Takeovers ausnutzen ließen. Unternehmen müssen daher phishing-resistente Verfahren sowohl für den Login als auch für die Gerätebindung verwenden, darunter Passkeys (Public-Key, passwortlose Credentials) sowie die Authentifizierung eines verifizierten/gebundenen Geräts.
Neben dem Login-Bildschirm erwartet die SFC, dass die Plattformen das komplette Account-Schutzsystem härten: verdächtige Logins sowie Handels-/Auszahlungsaktivitäten überwachen, Kunden über Ereignisse mit hohem Risiko informieren (z. B. Logins von neuen Geräten und Änderungen an Passkeys), bei Vorfällen schnell reagieren und Hacking-Fälle umgehend melden. Die Verantwortung der Senior-Managementebene ist ausdrücklich an die Rechenschaftspflicht für Ausfälle interner Kontrollen und mögliche Folgen von Kundenschäden gebunden.
Für Trader ist das vor allem eine Änderung in Risikomanagement und operativer Compliance der Börsen, nicht eine direkte Regel für die Marktstruktur. Dennoch kann das Entfernen von OTP-Logins die Erfolgsquote phishinggetriebener Account-Kompro-mittierungen senken und die Umsetzungstermine für in Hongkong ansässige Handelsplätze (Venues) verschieben.
Neutral
Diese Regel adressiert Authentifizierungs- und Account-Takeover-Risiken für Veranstaltungsorte in Hongkong. Es ist unwahrscheinlich, dass sie die Token-Grundlagen direkt verändert, daher sollten Preiswirkungen auf eine bestimmte Kryptowährung begrenzt sein. Kurzfristig könnten die Märkte vor allem auf operative und Compliance-Headlines reagieren und weniger auf Nachfrage-/Angebotsdynamiken; die Volatilitätseffekte dürften daher eher venuespezifisch als coin-spezifisch sein. Mittelfristig bis langfristig sollten weniger OTP-Logins die Wahrscheinlichkeit erfolgreicher, phishing-getriebener Exchange-Compromises senken, was das Vertrauen der Nutzer verbessern und Tail-Risiken (große unautorisierte Abhebungen/Trades) reduzieren kann. Das kann das Sentiment leicht stützen, aber da die Änderung regulatorisch/operativ ist und kein monetärer oder Netzwerkr-Upgrade-Katalysator, lässt sich der Nettoeffekt auf die Coin-Preise am besten als neutral einordnen.