هيئة الخدمات المالية الكورية تتيح تجميد عمليات السحب عند الشبهة باختراق

خطاب عدم الإجراء يفتح الباب أمام التجميد الوقائي

أعلنت هيئة الخدمات المالية في كوريا الجنوبية يوم الخميس أنها ستصدر خطاب عدم إجراء يتيح لمنصات تداول العملات الرقمية تعليق الإيداعات والسحوبات عند الاشتباه بمحاولة اختراق، قبل تأكيد أي إختراق فعلي. جاء القرار إثر اجتماع أمني عُقد في سول برئاسة نائب رئيس الهيئة شين جين تشانغ، ووضعت الجهة الرقابية خطتها في إعلان رسمي نُشر في اليوم نفسه.

فبموجب قانون حماية مستخدمي الأصول الافتراضية، لا يجوز للمنصات حجب إيداعات العملاء وسحوباتهم دون مسوغات مشروعة، ولا يسمح القانون بتقييد تلك العمليات إلا عندما تكون حادثة اختراق مثبتة بشكل قاطع. وقد تركت هذه الصياغة المنصات في منطقة رمادية: فالتحويلات غير الاعتيادية أو النشاط المشبوه في الحسابات كثيرًا ما يظهر قبل إثبات أي اختراق، في حين كانت الاستجابة المبكرة تنطوي على مخاطر قانونية. ويعالج خطاب عدم الإجراء هذه الفجوة عبر منح الطمأنينة الرقابية للتعليقات الوقائية التي تستوفي شروطًا محددة، دون أن يخول المنصات سلطة غير مقيدة في تجميد أموال العملاء.

وربطت الهيئة هذا التحول بمتطلبات تشغيلية صارمة. فعلى المنصات إبقاء مراقبة تتواءم مع جدول السوق الذي يعمل على مدار 24 ساعة، وإبقاء المسؤولين المعنيين متاحين لتقصي المعاملات المشبوهة والتصرف فورًا عند وجود مؤشرات على مشكلة أمنية. أما المنصات العاجزة عن توفير رقابة بشرية على مدار الساعة فستعالج الإيداعات والسحوبات في ساعات الدوام فقط، بعد إبلاغ العملاء مسبقًا وتعيين عدد كاف من الموظفين للفائض في معالجة طلبات السحب دون تأخير.

وتشكل قواعد الحفظ على العملاء محور الحزمة كاملة. فكوريا الجنوبية تفرض أصلًا على مزودي خدمات الأصول الافتراضية الاحتفاظ بما لا يقل عن 80% من عملات العملاء في محفظة باردة، وقد وثّقت الهيئة أن نسبة التخزين البارد في القطاع ككل تتجاوز 95%، مع اختلاف حصص كل منصة. وبموجب الإرشادات الجديدة، ينبغي للمشغلين تحديد سقف لأرصدة المحافظ الساخنة بما تكفيه المعاملات اليومية، والتفكير في توزيع الأموال على عدة محافظ، والحفاظ على تأمين واحتياطيات كافية لتعويض العملاء المتضررين من أي اختراق. كما طلبت الهيئة من المشغلين مراجعة وثائق التأمين والاحتياطيات المالية القائمة لديهم.

توقف GOPAX واختراق Prabang خلف التوجه

تأتي هذه التدابير ردًا على سلسلة حوادث أمنية في منصات كورية جنوبية. ففي 6 نوفمبر، علّقت GOPAX التداول الفوري والإيداعات والسحوبات العادية بعد تلقي رسالة إلكترونية تهدد بهجوم سيبراني. ونقلت المنصة أصول العملاء إلى التخزين البارد أثناء التحقيق، وقالت إنها لم ترصد أي محاولة اختراق فعلية أو أي سرقة، وبقيت قنوات الدعم متاحة للعملاء لطلب السحب، مع التحقق اليدوي من كل طلب.

وقضية Prabang كانت أعمق. ففي 24 أكتوبر، أوقفت المنصة خدماتها بعد رصد سحوبات غير طبيعية من محفظتها الساخنة، معلنة خسائر تقدر بنحو 70,000 دولار والتزامها بتعويض العملاء المتضررين من أموال الشركة. وفي مراجعة أجرتها الهيئة في أكتوبر على 555 شركة مالية على مستوى البلاد، رصدت قصورًا في الأمن السيبراني لدى 130 شركة، وعدّت على نحو منفصل مشغل GOPAX، شركة Streami، وPrabang ضمن 16 شركة ارتبطت بحوادث أمنية سابقة.

ويريد المنظمون توسيع دفاعات القطاع. فقد قال شين في الاجتماع إن شركات الأصول الافتراضية يجب أن تلتزم بمعايير أمنية تقارب معايير المؤسسات المالية التقليدية، لأنها تحتفظ بأصول العملاء وتديرها. وسيوسع معهد الأمان المالي الكوري دعمه لشركات العملات الرقمية عبر معلومات عن التهديدات وتقييم الثغرات وتدريب متخصصين، مع أن خمسة فقط من أصل 28 مزودًا مسجلاً لخدمات الأصول الافتراضية انضموا إلى المعهد حتى الآن. وتخطط الهيئة لتشجيع عضويات إضافية وتقديم دعم بديل للمشغلين غير القادرين على الانضمام. ومن المقرر أن يحدّث المعهد معايير فحص الأمن لديه بحلول نهاية 2026، شاملة التحقق من المعاملات وضوابط الوصول إلى المحافظ وأنظمة البلوكشين والعقود الذكية، بما فيها كيفية حماية المنصات للمفاتيح الخاصة الكامنة وراء محافظ العملاء. كما يتجاوز مشروع قانون الأصول الرقمية ذلك، إذ يلزم شركات العملات الرقمية باستيفاء معايير أمن تقنية المعلومات وتحميلها مسؤولية عن التعويضات على نحو يقارب المؤسسات المالية، وتريد الهيئة الإبلاغ الفوري عن الاختراقات المشبوهة ومحاولات الوصول الخارجي غير الاعتيادية للجهات المالية.

إرشادات الآن وقانون ملزم لاحقًا

يغيّر الخطاب سلوك الإرشاد لا النص التشريعي: فقانون حماية مستخدمي الأصول الافتراضية يظل يشترط المسوغات المشروعة لأي تقييد، بينما تقع الالتزامات الملزمة في مشروع قانون الأصول الرقمية الذي لم يُقرّ بعد. أما الاختبار الأقرب فهو تشغيلي. فالمنصات الكورية المركزية، بخلاف المنصة اللامركزية، تحتفظ مباشرة بأصول العملاء، وبالتالي فإن قاعدة التوظيف تحوّل عمليًا ميزانيات الأمن إلى سياسة لساعات التداول لدى المنصات غير القادرة على المراقبة المستمرة. ومعايير الفحص المعدلة للمعهد، المستحقة بنهاية 2026، ستكشف ما إذا كان المشغلون الـ23 غير الأعضاء يسدون هذه الفجوة أم يتخلفون عن المنصات الخمس المنضمة أصلًا إلى الإطار.