홍콩, 크립토 플랫폼의 OTP 로그인 금지

핵심 포인트

홍콩 증권선물위원회는 크립토 거래 플랫폼의 일회용 비밀번호 로그인을 금지하는 회람을 발표했다. 이 회람은 인터넷 브로커와 크립토 거래 플랫폼에 고객 로그인 및 기기 등록에서 SMS, 이메일, 앱 기반 OTP를 중단하라고 지시한다. 플랫폼은 12개월 내 패스키와 기타 피싱 저항 인증 방식으로 전환해야 하며, 대형 브로커는 즉시 전환해야 한다. 홍콩은 2025년에 사이버보안 사고 15,877건을 기록했고, SFC는 피싱이 이들 사례의 57%를 차지했다고 밝혔다. 에릭 입은 업체들이 강력한 인증과 신속한 사고 대응을 갖춰야 한다고 말했다. SFC는 이제 취약한 사이버보안 통제가 관련된 경우 고객 손실에 대해 고위 경영진에게 직접 책임을 묻는다.

왜 중요한가: 의무적인 피싱 저항 인증은 인증정보 탈취 리스크를 줄일 수 있지만, 이 규정은 규제 대상 크립토 플랫폼의 컴플라이언스 비용도 높일 수 있다.

시장 심리

신중한 강세, 규제 주도.

이유: SFC가 크립토 거래 플랫폼에 OTP 제거를 의무화했으며, 이는 사용자 보호를 개선할 수 있는 동시에 컴플라이언스 부담을 더할 수 있다.

유사 과거 사례

EU의 PSD2 강력 고객 인증 제도가 결제 서비스에 대해 시행됐고, 이후 EBA-ECB 보고서는 강력 고객 인증이 완화하도록 설계된 사기 유형에 대해 계속 효과적이었다고 밝혔다. (European Banking Authority) 차이점은 PSD2가 광범위한 결제 서비스를 포괄한 반면, 홍콩의 규정은 크립토 거래 플랫폼 접근을 직접 겨냥한다는 점이다.

파급 효과

다른 규제기관이 인증정보 탈취를 플랫폼 통제 실패로 본다면, 인증 의무화는 컴플라이언스 경로를 통해 확산될 수 있다. 다른 관할권이 유사한 규정을 채택하면, 규제 대상 크립토 거래소는 더 빠른 패스키 전환과 더 엄격한 계정 이벤트 모니터링에 직면할 수 있다. 피싱 손실이 계속 높게 유지되면, 규제기관은 통제를 로그인에서 출금과 기기 변경으로 확대할 수 있다.

기회와 리스크

기회: 플랫폼이 패스키 전환 절차를 공개하면, 더 원활한 온보딩이 규제 대상 거래소에 대한 신뢰를 뒷받침할 수 있다. 대형 브로커가 사용자 불편 없이 즉각적인 전환을 완료하면, 이는 컴플라이언스 준수 플랫폼에 잠재적 긍정 신호다.

리스크: 플랫폼이 12개월 기한을 놓치면, 집행 리스크가 해당 사업자에 부담을 줄 수 있다. 사용자가 전환 과정에서 로그인 마찰을 겪는다면, 보안이 더 취약한 거래소에 대한 노출을 줄이는 것이 운영 리스크를 제한할 수 있다.