La Securities and Futures Commission (SFC) di Hong Kong ha ordinato a tutte le piattaforme di trading di criptovalute e ai broker online autorizzati della città di implementare requisiti di accesso resistenti al phishing entro i prossimi 12 mesi. La direttiva, pubblicata il 9 luglio, fissa la scadenza per la conformità a metà del 2027.
La mossa mira a una vulnerabilità persistente nei mercati degli asset digitali: il furto di credenziali. Gli attacchi di phishing – in cui malintenzionati inducono gli utenti a fornire password o codici a due fattori – hanno prosciugato milioni dai conti degli exchange a livello globale. Le nuove regole della SFC spingono le piattaforme ad adottare metodi di autenticazione che non possano essere facilmente intercettati o replicati.
Sebbene l'autorità di regolamentazione non abbia specificato una tecnologia esatta, il termine "resistente al phishing" si riferisce tipicamente a chiavi di sicurezza basate su hardware (FIDO2/WebAuthn) o alla verifica biometrica legata al dispositivo di un utente. I codici SMS standard e le password monouso basate su app, entrambi comuni nel settore crypto, sono vulnerabili ai proxy di phishing in tempo reale. La SFC sta di fatto dicendo alle piattaforme di eliminare questo anello debole.
La tempistica di 12 mesi offre agli operatori il tempo di riorganizzare i loro flussi di accesso e di educare gli utenti. Hong Kong ha rafforzato la sua presa sul settore da quando ha introdotto il suo regime di licenze obbligatorie per i fornitori di servizi di asset virtuali nel 2023. Alcune piattaforme hanno già ottenuto o richiesto le licenze; altre hanno chiuso o lasciato la città.
Per i trader, l'effetto pratico è semplice: dovranno registrare una chiave di sicurezza o attivare il riconoscimento facciale prima di poter operare. Questo passaggio aggiuntivo, sebbene crei un piccolo attrito, blocca il vettore più comune di acquisizione degli account. L'ordine della SFC si applica sia ai conti degli investitori al dettaglio che a quelli professionali sotto la sua supervisione.
La direttiva arriva mentre le autorità di regolamentazione globali aumentano la pressione sulla sicurezza degli exchange. La FSA giapponese impone già l'autenticazione a più fattori basata su hardware per determinati servizi crypto. La FCA del Regno Unito ha indicato il phishing come una delle massime priorità di applicazione. La norma di Hong Kong lo rende il primo grande hub asiatico a codificare uno standard anti-phishing specifico per gli asset digitali, non solo una raccomandazione generale di "autenticazione forte".
La data chiave per le piattaforme: luglio 2027. Qualsiasi azienda che non rispetti il requisito rischia condizioni sulla licenza o, nel peggiore dei casi, la revoca. Per ora, il mercato ha interpretato la notizia come rialzista: una sicurezza più rigorosa riduce la probabilità di violazioni degli exchange, che storicamente innescano vendite massicce ed erodono la fiducia degli investitori al dettaglio. Il mantenimento di questa lettura rialzista dipenderà da quanto agevole sarà l'implementazione.
Hong Kong: le piattaforme crypto devono rafforzare la sicurezza
L'autorità di regolamentazione di Hong Kong ha ordinato alle piattaforme di trading di criptovalute autorizzate di adottare metodi di accesso più sicuri entro 12 mesi per fermare gli attacchi di phishing che rubano le password degli utenti. L'obiettivo è proteggere gli investitori e migliorare la sicurezza generale nel mercato degli asset digitali.