La Comisión de Valores y Futuros de Hong Kong (SFC) ha ordenado a todas las plataformas de criptomonedas y brókeres en línea con licencia en la ciudad que implementen requisitos de inicio de sesión resistentes al phishing en los próximos 12 meses. La directiva, publicada el 9 de julio, establece como fecha límite para su cumplimiento mediados de 2027.
La medida se enfoca en una vulnerabilidad persistente en los mercados de activos digitales: el robo de credenciales. Los ataques de phishing –en los que actores maliciosos engañan a los usuarios para que entreguen sus contraseñas o códigos de dos factores– han drenado millones de las cuentas de los exchanges a nivel mundial. Las nuevas reglas de la SFC impulsan a las plataformas a adoptar métodos de autenticación que no puedan ser fácilmente interceptados o replicados.
Aunque el regulador no especificó una tecnología exacta, el término "resistente al phishing" generalmente se refiere a llaves de seguridad basadas en hardware (FIDO2/WebAuthn) o a la verificación biométrica vinculada al dispositivo del usuario. Los códigos SMS estándar y las contraseñas de un solo uso basadas en aplicaciones, ambos comunes en el mundo cripto, son vulnerables a los proxies de phishing en tiempo real. La SFC está indicando efectivamente a las plataformas que eliminen ese eslabón débil.
El plazo de 12 meses da a los operadores margen para rediseñar sus flujos de inicio de sesión y educar a los usuarios. Hong Kong ha estado reforzando su control sobre el sector desde que introdujo su régimen de licencias obligatorias para proveedores de servicios de activos virtuales en 2023. Un puñado de plataformas ya han obtenido o solicitado licencias; otras cerraron o abandonaron la ciudad.
Para los traders, el efecto práctico es claro: deberán registrar una llave de seguridad o inscribir su reconocimiento facial antes de poder operar. Ese paso adicional, aunque supone una pequeña fricción, cierra el vector más común de toma de control de cuentas. La orden de la SFC se aplica tanto a las cuentas de inversores minoristas como a las de profesionales bajo su supervisión.
La directiva llega en un momento en que los reguladores globales aumentan la presión sobre la seguridad de los exchanges. La FSA de Japón ya exige la autenticación multifactorial basada en hardware para ciertos servicios de criptomonedas. La FCA del Reino Unido ha indicado el phishing como una de sus principales prioridades de aplicación. La norma de Hong Kong lo convierte en el primer gran centro asiático en codificar un estándar específico anti-phishing para activos digitales, no solo una recomendación general de "autenticación robusta".
La fecha clave para las plataformas: julio de 2027. Cualquier empresa que no cumpla con el requisito se arriesga a condiciones en su licencia o, en el peor de los casos, a su revocación. Por ahora, el mercado interpretó la noticia como alcista: una seguridad más estricta reduce la probabilidad de brechas en los exchanges, que históricamente desencadenan ventas masivas y erosionan la confianza de los minoristas. Que esta lectura alcista se mantenga dependerá de cuán fluida sea la implementación.
Hong Kong exige a plataformas cripto mejorar la seguridad de acceso
El regulador de Hong Kong ha ordenado a las plataformas de criptomonedas con licencia que adopten métodos de inicio de sesión más robustos en un plazo de 12 meses para detener los ataques de phishing que roban las contraseñas de los usuarios. Esta medida busca proteger a los inversores y mejorar la seguridad general en el mercado de activos digitales.