Güney Kore'nin FSC'si Şüpheli Siber Saldırılarda Para Çekimini Dondurabilecek

FSC'nin No-Action Mektubu Önleyici Dondurmaya Kapı Açıyor

Güney Kore Finans Hizmetleri Komisyonu (FSC), Perşembe günü kripto para borsalarına, bir hack (siber saldırı) girişimi şüphesi doğduğunda, ihlal kesinleşmeden önce para yatırma ve çekme işlemlerini askıya alma izni verecek bir no-action mektubu (işlem görmeme yazısı) yayınlayacağını açıkladı. Karar, FSC Başkan Yardımcısı Shin Jin-chang'ın başkanlık ettiği Seoul'deki güvenlik toplantısından çıktı; düzenleyici planı aynı gün yayımladığı resmi duyuruda ayrıntılarıyla ortaya koydu.

Sanal Varlık Kullanıcı Koruma Yasası uyarınca borsalar, meşru bir gerekçe olmadan müşteri yatırma ve çekme işlemlerini engelleyemiyor ve yasa, kısıtlamaya yalnızca bir siber saldırı olayının açıkça kanıtlanması durumunda izin veriyor. Bu ifade platformları bir boşlukta bırakıyordu: sıra dışı transferler ya da şüpheli hesap hareketleri çoğu zaman bir sızma kanıtlanmadan önce ortaya çıkıyor, ancak erken müdahale yasal risk taşıyordu. No-action mektubu, belirli koşulları karşılayan önleyici askıya almalara düzenleyici güvence vererek bu boşluğu kapatıyor. Ne var ki bu, borsalara müşteri fonlarını sınırsız biçimde dondurma yetkisi vermiyor.

FSC, değişikliği operasyonel yükümlülüklerle de eşleştirdi. Borsalar, piyasanın 24 saatlik çalışma düzenine uyum bir izleme mekanizması kurmalı, şüpheli işlemleri inceleyecek sorumlu personeli hazır bulundurmalı ve güvenlik sorununa işaret eden bir harekete anında yanıt vermeli. Kesintisiz gözetim sağlayamayan platformlar, müşterileri önceden bilgilendirdikten ve para çekim taleplerini hızla karşılayacak yeterli personeli görevlendirdikten sonra, yalnızca personelin olduğu saatlerde yatırma ve çekme işlemlerini gerçekleştirecek.

Paketin merkezinde saklama kuralları yer alıyor. Güney Kore halihazırda sanal varlık hizmet sağlayıcılarının müşteri kripto varlıklarının en az yüzde 80'ini bir soğuk cüzdanda tutmasını zorunlu kılıyor ve FSC, sektörün genel soğuk saklama oranının yüzde 95'in üzerinde olduğunu, bireysel borsaların ise farklı oranlarda tuttuğunu belirtti. Yeni rehber uyarınca operatörler, sıcak cüzdan bakiyelerini rutin işlemlerin gerektirdiği düzeyle sınırlı tutmalı, fonları birden fazla cüzdana yaymayı değerlendirmeli ve bir hack'e uğrayan müşterileri tazmin etmeye yeterli sigorta ve rezerv bulundurmalı. Düzenleyici ayrıca operatörlerden mevcut sigorta teminatlarını ve finansal rezervlerini gözden geçirmelerini istedi.

GOPAX Durdurması ve Prabang İhlali Planın Arkasındaki İtici Güç

Önlemler, Güney Kore'deki platformlarda yaşanan bir dizi güvenlik skarisine yanıt olarak geliyor. 6 Kasım'da GOPAX, bir siber saldırı tehdidi içeren bir e-posta almasının ardından spot işlemleri, para girişlerini ve standart para çekimlerini durdurdu. Borsa, inceleme sürerken müşteri varlıklarını soğuk saklamaya taşıdı ve gerçek bir hack girişimi ya da herhangi bir hırsızlık tespit etmediğini açıkladı; müşteriler destek kanalları üzerinden para çekim talebinde bulunmaya devam edebiliyordu, her talep tek tek elle doğrulanıyordu.

Prabang vakası daha ileri gitti. Platform, 24 Ekim'de sıcak cüzdanından gelen anormal para çekimleri tespit etmesi üzerine hizmetleri durdurdu ve yaklaşık 70.000 dolarlık kayıp bildirdi; etkilenen müşterileri şirket kaynaklarından tazmin edeceğine söz verdi. FSC'nin ülke genelinde 555 finans şirketini kapsayan Ekim incelemesinde 130'unda siber güvenlik açığı saptandı; düzenleyici ayrıca GOPAX'ın operatörü Streami ile Prabang'ı, daha önceki güvenlik olaylarına bağlı 16 şirket arasında saydı.

Düzenleyiciler sektörün savunma hattının genişletilmesini istiyor. Shin, toplantıda sanal varlık şirketlerinin müşteri varlıklarını saklayıp yönettiği göz önüne alındığında, geleneksel finans kurumlarıyla karşılaştırılabilir güvenlik standartları tutmaları gerektiğini söyledi. Güney Kore Finansal Güvenlik Enstitüsü, kripto işletmelerine tehdit istihbaratı, zafiyet değerlendirmesi ve uzman eğitimiyle destek verecek; ne var ki kayıtlı 28 sanal varlık hizmet sağlayıcısından şimdiye kadar yalnızca beşi enstitüye katıldı. FSC, daha fazla üyeliği teşvik etmeyi ve katılamayan operatörlere alternatif destek sunmayı planlıyor. Enstitü, 2026 sonuna kadar güvenlik denetim standartlarını güncelleyecek; bu güncelleme işlem doğrulamasını, cüzdan erişim kontrollerini, blok zinciri sistemlerini ve akıllı sözleşmeleri, müşteri cüzdanlarının arkasındaki özel anahtarların korunma biçimini de kapsayacak. Önerilen Dijital Varlıklar Yasası bir adım öteye geçerek kripto işletmelerinden finans kurumlarıyla karşılaştırılabilir BT güvenlik standartlarına uymalarını ve zararlardan sorumluluk taşımasını isteyecek; FSC ayrıca şüpheli ihlallerin ve sıra dışı dış erişim girişimlerinin finansal makamlara hızla bildirilmesini istiyor.

Şimdilik Rehber, Bağlayıcı Yasa Sonra

Mektup, yürürlükteki mevzuatı değil davranış rehberini değiştiriyor: Sanal Varlık Kullanıcı Koruma Yasası kısıtlamalar için yine meşru gerekçe arıyor ve bağlayıcı yükümlülükler, henüz yasalaşmamış olan önerilen Dijital Varlıklar Yasası'nda yer alıyor. Asıl sınav operasyonel düzeyde gerçekleşecek. Merkezileşmiş Kore borsaları bir DEX'in (merkeziyetsiz borsa) aksine müşteri varlıklarının doğrudan saklayıcısı konumunda; bu nedenle personel kuralı, kesintisiz izleme sağlayamayan platformlar için güvenlik bütçelerini fiilen işlem saatleri politikasına dönüştürüyor. 2026 sonuna kadar açıklanacak revize denetim standartları, üye olmayan 23 operatörün bu boşluğu kapatıp kapatamayacağını, çerçevenin içindeki beş borsanın gerisinde kalıp kalmayacağını gösterecek.