Hongkongs Wertpapieraufsichtsbehörde hat die Anmeldung mit Einmalpasswörtern für Krypto-Handelsplattformen verboten. Die Regel zielt auf Phishing-Betrügereien ab, die hinter einem Anstieg der Cybersecurity-Vorfälle in der Region stehen.
Die Wertpapier- und Terminbörsenaufsicht hat ein Rundschreiben herausgegeben. Es fordert Internetbroker und Krypto-Handelsplattformen auf, SMS-, E-Mail- und app-basierte OTPs abzulehnen.
Plattformen müssen die Kundenanmeldungen und die Gerätebindung auf Passkeys und andere phishing-resistente Methoden umstellen. Die Betreiber haben 12 Monate Zeit, um dies umzusetzen, obwohl große Broker sofort umstellen müssen. Die SFC hat bereits im Februar 2025 auf die Risiken von OTPs hingewiesen. Dieses Rundschreiben macht den Wechsel nun verpflichtend.
Phishing befeuert ein Rekordjahr für Cyber-Vorfälle
Hongkong verzeichnete 15.877 Cybersecurity-Vorfälle im Jahr 2025. Die SFC sagt, das markiert einen Anstieg von 27 % im Vergleich zum Vorjahr. Phishing machte 57 % dieser Fälle aus. Botnet-Angriffe folgten mit 18 %, und Malware lag bei 15 %.
Die Gesamtzahl für 2025 ist mehr als doppelt so hoch wie die 7.752 Vorfälle, die 2023 verzeichnet wurden.
Die globalen Phishing-Verluste, die mit Krypto-Wallets verbunden sind, beliefen sich allein im ersten Quartal 2026 auf etwa 306 Millionen US-Dollar. Folglich trieb diese Zahl die SFC zum Handeln. Angreifer verlassen sich zunehmend auf gestohlene Anmeldedaten anstelle technischer Ausnutzungen, um Krypto-Nutzer ins Visier zu nehmen. BeInCrypto verfolgte in diesem Monat ein ähnliches Muster, als eine Phishing-Signatur 999.999 USDT aus einer einzigen Ethereum-Wallet abfließen ließ.
Neue Regeln drängen Krypto-Plattformen zu Passkeys
Plattformen müssen verdächtige Anmeldungen, Handelsaktivitäten und Abhebungen kennzeichnen. Sie müssen auch die Kunden über wichtige Kontoveranstaltungen informieren. Eric Yip von der SFC sagte, dass Unternehmen eine robuste Authentifizierung in Kombination mit einer schnellen Reaktion auf Vorfälle benötigen. Dennoch, so fügte er hinzu, verhindert Prävention allein selten einen entschlossenen Angreifer.
In der Zwischenzeit sehen sich dezentrale Krypto-Plattformen ähnlichen Bedrohungen gegenüber. Ein gefälschter Airdrop-Phishing-Betrug hat kürzlich einem HyperSwap-Nutzer in weniger als 90 Sekunden 12.300 $ entzogen. Ähnlich hat eine gefälschte Uniswap-Phishing-Seite rund 400.000 $ aus mehreren Wallets zur gleichen Zeit abgezogen. Diese Fälle zeigen, dass das OTP-Verbot nur einen Teil eines umfassenderen Problems des Credential-Diebstahls in der Krypto-Industrie anspricht.
Globale Regulierungsbehörden stehen unter dem gleichen Phishing-Druck
Die SFC macht nun das obere Management direkt für Kundenverluste verantwortlich. Darüber hinaus werden schwache Cybersicherheitskontrollen diese Haftung auslösen, ein strengerer Standard als frühere Richtlinien. Unternehmen, die die 12-monatige Frist verpassen, riskieren Durchsetzungsmaßnahmen und reputationsschädigende Auswirkungen im gesamten Krypto-Sektor. Große Broker stehen unter dem neuen Fristdruck sofort unter Beobachtung.
Regulierungsbehörden anderswo stehen unter dem gleichen Phishing-Druck. Die weltweite Cyberkriminalitätsbekämpfung des FBI und die Einfrierungen von Krypto-Kriminalvermögen von Tether mit TRONs T3-Einheit zielen beide auf Netzwerke ab, die auf gestohlenen Anmeldedaten basieren. Das Verbot in Hongkong wirft nun eine klare Frage für Kollegen in Singapur, dem Vereinigten Königreich und darüber hinaus auf. Werden andere Regulierungsbehörden mit eigenen phishingsicheren Vorgaben folgen oder warten, bis die Verluste zuerst steigen?
Quelle: BeInCrypto
