Réglementation de la SFC sur l’authentification des plateformes de crypto-monnaies
La Commission des valeurs mobilières et des contrats à terme de Hong Kong (SFC) a ordonné aux plateformes de trading de crypto-monnaies licenciées et aux courtiers en ligne de remplacer l’authentification par SMS par des méthodes de connexion résistantes au phishing dans un délai de 12 mois. Selon la SFC, les plateformes de trading d’actifs virtuels (VATPs) et les courtiers en ligne doivent cesser de s’appuyer sur des mots de passe à usage unique envoyés par SMS, par email ou générés par des applications, et adopter plutôt des systèmes d’authentification plus robustes, plus difficiles à compromettre pour les attaquants.
« Les exigences d’authentification plus strictes répondent à l’augmentation des risques de phishing et de fraude affectant les plateformes financières. »
Le régulateur a annoncé ces nouvelles exigences en matière de cybersécurité jeudi, dans le cadre de normes mises à jour pour la protection des comptes clients. Dans le cadre de ce nouveau cadre, les entreprises devront introduire des méthodes d’authentification résistantes au phishing, accompagnées d’un lien avec les appareils. La SFC a identifié les clés d’accès, les appareils enregistrés sécurisés par vérification cryptographique et les clés de sécurité matérielles comme des alternatives acceptables. Toutes les plateformes licenciées doivent achever la transition dans un délai d’un an.
Élargissement du marché des actifs numériques à Hong Kong
Ces nouvelles règles interviennent alors que Hong Kong continue d’élargir son marché d’actifs numériques régulés tout en élevant les normes opérationnelles pour les entreprises licenciées. Plus tôt cette semaine, la SFC a également annoncé des changements au programme de Certification des Praticiens de Plateformes d’Actifs Virtuels après des discussions avec des représentants de l’industrie. Le régulateur s’est engagé à séparer l’examen de certification de son cours obligatoire, à réduire les frais d’évaluation et à améliorer les supports d’étude.
Administré par l’Institut des valeurs mobilières et des investissements de Hong Kong (HKSI) selon les normes de la SFC, le Programme de Certification pour les Professionnels des Actifs Virtuels sert de qualification professionnelle pour le secteur des actifs numériques. Ce programme couvre les fondamentaux de la blockchain, les produits d’actifs numériques et la conformité en matière de lutte contre le blanchiment d’argent.
Mesures de cybersécurité et incidents de phishing
Les récentes activités réglementaires se sont étendues au-delà des licences et des normes professionnelles. Le mois dernier, Hong Kong a confirmé que ses premiers stablecoins régulés devraient entrer en circulation entre le milieu et la seconde moitié de 2026, après que l’Autorité monétaire de Hong Kong (HKMA) a accordé des licences d’émetteur à deux institutions soutenues par des banques en avril.
Concernant les mesures de cybersécurité, la SFC a déclaré que les exigences d’authentification plus strictes répondent à l’augmentation des risques de phishing et de fraude affectant les plateformes financières. Les données citées par le régulateur ont montré que la contrefaçon et la fraude représentaient 57 % des incidents de sécurité signalés au Centre de coordination des accidents de cybersécurité de Hong Kong en 2025.
« Les institutions financières ont besoin de mesures coordonnées de prévention, de détection, de réponse et d’éducation pour protéger les comptes clients contre des attaques de fraude de plus en plus sophistiquées. » – Dr Ye Zhiheng
La décision de la SFC fait suite à une période de lourdes pertes liées à des attaques de phishing et d’ingénierie sociale dans l’industrie de la crypto-monnaie. Les données de l’industrie ont montré que les attaques de phishing et les escroqueries d’ingénierie sociale représentaient 306 millions de dollars des 482 millions de dollars de pertes de sécurité totales du secteur crypto au cours du premier trimestre de 2026.
Plus récemment, un investisseur en crypto aurait perdu près de 1 million de dollars après avoir approuvé une transaction de jeton de phishing malveillant sur Ethereum, contribuant à des pertes liées au phishing qui ont atteint 366 millions de dollars au cours du premier semestre de 2026. Des incidents similaires ont continué tout au long de l’année.
Le chercheur Ryan Coleman a rapporté qu’un détenteur de portefeuille avait perdu environ 1,65 million de dollars après s’être connecté à une fausse plateforme d’échange de crypto-monnaies et avoir signé un contrat malveillant qui accordait aux attaquants un accès illimité à son portefeuille. L’approbation a permis aux attaquants de vider les fonds. Il est donc crucial de vérifier toujours les contrats et de révoquer les approbations de jetons non utilisés.
Plus tôt, le 25 mai, l’analyste on-chain b-block a averti que des escrocs avaient utilisé des publicités Google pour usurper l’échange décentralisé Uniswap, la campagne ayant apparemment volé plus de 400 000 dollars à des victimes. Des appels à une sécurité des portefeuilles plus forte ont également été lancés de l’intérieur de l’industrie. Le co-fondateur de Binance, Changpeng Zhao, a précédemment exhorté les utilisateurs à adopter de meilleures pratiques de sécurité après qu’un investisseur ait perdu 50 millions de dollars dans une escroquerie de contamination d’adresse en décembre 2025.
