香港 SFC 指示加密貨幣平台停止使用 OTP 登入

香港證券及期貨事務監察委員會（SFC）已要求持牌加密平台與網路經紀停止使用 OTP 登入作為客戶驗證與裝置綁定。SFC 表示，機構在 7 月 9 日通知後最多有 12 個月的時間，需採用具抗釣魚（phishing-resistant）的驗證方式。 該要求鎖定透過簡訊（SMS）、電子郵件或驗證器應用程式送出的 OTP。監管機關認為，這些 OTP 仍可能透過偽造（spoofed）的登入頁面與即時的帳戶接管（real-time account takeovers）而被利用。相對地，機構必須在登入與裝置綁定兩者都採用具抗釣魚能力的方法，包括使用通行密鑰（passkeys，公開金鑰、免密碼憑證）以及已驗證／已綁定裝置的驗證。 在登入畫面之外，SFC 期待平台強化整個帳戶保護架構：監測可疑登入與交易／提領行為，針對高風險事件通知客戶（例如新裝置登入與通行密鑰變更），對事故快速應對，並對駭客入侵案件及時通報。SFC 亦明確把責任連結到高層管理，要求其對內部控制失效及可能造成的客戶損失結果負責。 對交易者而言，這主要是交易所風險管理與營運合規的變更，而非直接影響市場結構的規則。不過，移除 OTP 登入可能會降低由釣魚攻擊驅動的帳戶遭竊／被接管的成功率，並可能改變香港本地營運場域的落地時程。