Комісія з цінних паперів та ф’ючерсів Гонконгу (SFC) заборонила криптоплатформам авторизацію через одноразові паролі. Захід спрямований проти фішингу, на який припадає більша частина сплеску кіберінцидентів у регіоні.

Регулятор випустив циркуляр, який зобов’язує інтернет-брокерів та криптовалютні торговельні платформи відмовитися від одноразових паролів (OTP) — у SMS, електронній пошті та мобільних застосунках.

Вхід клієнтів і прив’язку пристроїв платформи мають перевести на passkeys та інші стійкі до фішингу методи. На виконання відведено 12 місяців, однак великі брокери мусять перейти негайно. На ризики OTP SFC вказувала ще в рекомендаціях від лютого 2025 року — тепер цей перехід став обов’язковим.

Фішинг забезпечив рекордний рік за кіберінцидентами

У 2025 році в Гонконгу зафіксували 15 877 інцидентів у сфері кібербезпеки. За оцінкою SFC, це на 27% більше, ніж роком раніше. На фішинг припало 57% випадків, на атаки ботнетів — 18%, на шкідливе ПЗ — 15%.

Підсумок 2025 року більш ніж удвічі перевищує 7752 інциденти, зареєстровані у 2023-му.

Лише за I квартал 2026 року світові втрати від фішингу, пов’язаного з криптогаманцями, склали близько $306 млн. Саме ця цифра підштовхнула SFC до дій. Зловмисники дедалі частіше роблять ставку на викрадені облікові дані, а не на технічні вразливості. BeInCrypto фіксувало схожу схему цього місяця: фішинговий підпис дозволив вивести $999 999 в USDT з одного Ethereum-гаманця.

Нові правила підштовхують платформи до passkeys

Платформи зобов’язані позначати підозрілі входи, угоди та виведення коштів, а також повідомляти клієнтів про ключові події в акаунті. Ерік Іп із SFC заявив, що компаніям потрібна надійна автентифікація в поєднанні зі швидким реагуванням на інциденти. Втім, додав він, сама лише профілактика рідко зупиняє вмотивованого зловмисника.

Зі схожими загрозами стикаються й децентралізовані платформи. Нещодавно фішингова схема з фейковим airdrop менш ніж за 90 секунд спустошила гаманець користувача HyperSwap на $12 300. Приблизно тоді ж підроблений сайт Uniswap вивів близько $400 000 із кількох гаманців. Ці випадки показують, що заборона OTP закриває лише частину ширшої проблеми крадіжки облікових даних.

Перед світовими регуляторами стоїть та сама проблема

Тепер SFC покладає на топменеджмент пряму відповідальність за втрати клієнтів, зокрема за слабкі заходи кібербезпеки, — це жорсткіший стандарт, ніж попередні рекомендації. Компаніям, які не вкладуться у 12-місячний строк, загрожують примусові заходи та репутаційні збитки, а великі брокери потрапляють під контроль одразу.

Регулятори інших країн стикаються з тим самим тиском фішингу. Глобальна кампанія ФБР проти кіберзлочинності та заморожування активів Tether спільно з підрозділом T3 від TRON націлені на мережі, побудовані навколо викрадених облікових даних. Заборона Гонконгу ставить очевидне питання перед колегами в Сінгапурі, Великій Британії та за їхніми межами: чи підуть вони слідом із власними вимогами щодо стійкої до фішингу автентифікації — чи волітимуть дочекатися зростання втрат?

Джерело: BeInCrypto