Hong Kong SFC nakazuje platformom kryptowalutowym rezygnację z logowania przez OTP
Hong Kongska Komisja Papierów Wartościowych i Kontraktów Terminowych (SFC) nakazała licencjonowanym platformom kryptowalutowym oraz brokerom internetowym zaprzestanie używania logowania OTP do uwierzytelniania klientów i wiązania urządzeń. SFC twierdzi, że firmy mają do 12 miesięcy od ogłoszenia z 9 lipca, aby wdrożyć uwierzytelnianie odporne na phishing.
Wymóg dotyczy OTP dostarczanych przez SMS, e-mail lub aplikacje uwierzytelniające. Regulator argumentuje, że nadal można je wykorzystywać poprzez fałszywe (podrobione) strony logowania oraz przejmowanie kont w czasie rzeczywistym. Zamiast tego firmy muszą stosować metody odporne na phishing zarówno do logowania, jak i do wiązania urządzeń, w tym passkeys (public-key, bezhasłowe poświadczenia) oraz uwierzytelnianie urządzenia zweryfikowanego/związanego.
Poza ekranem logowania SFC oczekuje, że platformy wzmocnią cały stos ochrony konta: będą monitorować podejrzane logowania i aktywność handlową/wypłat, powiadamiać klientów o zdarzeniach wysokiego ryzyka (takich jak logowania z nowego urządzenia i zmiany passkeys), szybko reagować na incydenty oraz terminowo raportować przypadki włamań. Odpowiedzialność zarządu wyższego szczebla jest ponadto wprost powiązana z niepowodzeniami w kontroli wewnętrznej i potencjalnymi stratami klientów.
Dla traderów jest to przede wszystkim zmiana w zarządzaniu ryzykiem giełdy i w zgodności operacyjnej, a nie bezpośrednia reguła dotycząca struktury rynku. Usunięcie logowania OTP może jednak obniżyć skuteczność kompromitacji kont napędzanych phishingiem i może przesunąć harmonogramy wdrożeń dla podmiotów działających w Hongkongu.
Neutral
Ten przepis dotyczy ryzyka związanego z uwierzytelnianiem oraz przejmowaniem kont w obiektach w Hongkongu. Jest mało prawdopodobne, aby bezpośrednio zmienił podstawy tokenów, więc wpływ cenowy na konkretną kryptowalutę powinien być ograniczony. W krótkim terminie rynki mogą reagować głównie na nagłówki operacyjne i zgodności (compliance), a nie na dynamikę popytu i podaży, dlatego efekty zmienności będą bardziej specyficzne dla poszczególnych obiektów niż dla samej monety. W średnim i długim terminie ograniczenie logowań przez OTP powinno zmniejszyć prawdopodobieństwo skutecznych przejęć giełd napędzanych phishingiem, co może poprawić zaufanie użytkowników i ograniczyć ryzyka „ogonowe” (duże nieautoryzowane wypłaty/handel). Może to nieco wspierać nastroje, ale ponieważ jest to zmiana regulacyjno-operacyjna, a nie katalizator o charakterze pieniężnym ani aktualizacja sieci, efekt netto na ceny monet należy najlepiej ocenić jako neutralny.