香港 SFC 命令加密貨幣平台停止使用 OTP 登入

香港證券及期貨事務監察委員會（SFC）已要求持牌加密平台及網絡經紀停止使用一次性密碼（OTP）登入作為客戶身份驗證及裝置綁定。SFC表示，持牌機構可在7月9日通知發出後最多12個月內，採用具抗釣魚（phishing-resistant）的驗證方式。 該要求針對透過短訊（SMS）、電郵或驗證器應用程式發送的OTP。監管機構認為，這類OTP仍可能被透過「偽造」登入頁面以及即時的帳戶被接管（real-time account takeovers）而加以利用。因此，機構必須同時在登入及裝置綁定兩方面使用具抗釣魚能力的方法，包括使用通行密鑰（passkeys，公開金鑰、公鑰密碼、免密碼憑證）以及已驗證／已綁定裝置的驗證。 在登入畫面之外，SFC亦預期平台要強化整個帳戶保護體系：監測可疑登入及交易／提領活動，於高風險事件發生時通知客戶（例如新的裝置登入及通行密鑰變更），在事故發生時迅速應對，並對駭客入侵個案及時作出通報。監管亦明確把責任連結至高層管理，涉及內部監控失效及可能導致客戶損失的後果。 對交易者而言，這主要是交易所風險管理及營運合規方面的調整，而非直接影響市場結構的規則。不過，移除OTP登入可能會降低由釣魚攻擊驅動的帳戶被破解／被盜取的成功率，並可能改變香港本地交易平台的實施時間表。