Hong Kong prohíbe inicios de sesión por SMS y correo electrónico para plataformas de criptomonedas: ¿seguirán otros reguladores?
El regulador de valores de Hong Kong ha prohibido los inicios de sesión con contraseña de un solo uso para las plataformas de comercio de criptomonedas. La regla apunta a las estafas de phishing detrás de un aumento en los incidentes de ciberseguridad en la región.
La Comisión de Valores y Futuros emitió un comunicado. Ordena a los corredores de internet y plataformas de comercio de criptomonedas que dejen de usar OTPs por SMS, correo electrónico y aplicaciones.
Las plataformas deben cambiar los inicios de sesión de los clientes y la vinculación de dispositivos a claves de acceso y otros métodos resistentes al phishing. Los operadores tienen 12 meses para cumplir, aunque los grandes corredores deben cambiar de inmediato. La SFC señaló los riesgos de OTP en la guía de febrero de 2025. Este comunicado ahora hace que ese cambio sea obligatorio.
El phishing alimenta un año récord de incidentes cibernéticos
Hong Kong registró 15,877 incidentes de ciberseguridad en 2025. La SFC dice que eso marca un aumento del 27% respecto al año anterior. El phishing representó el 57% de esos casos. Los ataques de botnets siguieron con un 18%, y el malware quedó en un 15%.
El total de 2025 es más del doble de los 7,752 incidentes registrados en 2023.
Las pérdidas globales por phishing relacionadas con billeteras de criptomonedas alcanzaron aproximadamente $306 millones solo en el primer trimestre de 2026. En consecuencia, esa cifra llevó a la SFC a actuar. Los atacantes dependen cada vez más de credenciales robadas en lugar de exploits técnicos para atacar a los usuarios de criptomonedas. BeInCrypto rastreó un patrón similar este mes, ya que una firma de phishing drenó $999,999 en USDT de una sola billetera de Ethereum.
Nuevas reglas empujan a las plataformas de criptomonedas hacia las claves de acceso
Las plataformas deben marcar inicios de sesión, transacciones y retiros sospechosos. También deben notificar a los clientes sobre eventos clave de la cuenta. Eric Yip de la SFC dijo que las empresas necesitan una autenticación robusta acompañada de una respuesta rápida a incidentes. Aún así, la prevención por sí sola rara vez detiene a un atacante decidido, añadió.
Mientras tanto, las plataformas de criptomonedas descentralizadas enfrentan amenazas similares. Un fraude de phishing de airdrop falso drenó recientemente $12,300 de un usuario de HyperSwap en menos de 90 segundos. De manera similar, un sitio de phishing falso de Uniswap extrajo aproximadamente $400,000 de múltiples billeteras alrededor del mismo tiempo. Estos casos muestran que la prohibición de OTP aborda solo una parte de un problema más amplio de robo de credenciales que enfrenta la industria de criptomonedas.
Los reguladores globales enfrentan la misma presión de phishing
La SFC ahora hace que la alta dirección sea directamente responsable de las pérdidas de los clientes. Además, los controles de ciberseguridad débiles activarán esa responsabilidad, un estándar más estricto que la orientación anterior. Las empresas que no cumplan con el plazo de 12 meses arriesgan acciones de cumplimiento y daños a su reputación en todo el sector de criptomonedas. Los grandes corredores enfrentan un escrutinio inmediato bajo el nuevo plazo.
Los reguladores en otros lugares enfrentan la misma presión de phishing. La represión global del cibercrimen del FBI y las congelaciones de activos por crímenes de criptomonedas de Tether con la unidad T3 de TRON apuntan a redes construidas sobre credenciales robadas. La prohibición de Hong Kong ahora plantea una pregunta clara para sus pares en Singapur, el Reino Unido y más allá. ¿Seguirán otros reguladores con sus propios mandatos resistentes al phishing, o esperarán a que las pérdidas aumenten primero?
Fuente: BeInCrypto