Ipinagbawal na ng securities regulator ng Hong Kong ang paggamit ng one-time password (OTP) login para sa mga crypto trading platform. Target ng bagong rule na ito ang mga phishing scam na naging dahilan ng pagtaas ng mga cyber incident sa lugar.
Naglabas ang Securities and Futures Commission ng isang circular na nag-uutos sa mga internet broker at crypto trading platform na itigil ang paggamit ng OTP sa SMS, email, at app para sa login.
Kailangan mag-switch ang mga platform sa mas secure na login tulad ng passkeys at iba pang pamamaraan na hindi madaling ma-phish pag nagba-bind ng device o nagla-login ang kliyente. May 12 buwan ang mga operator para sumunod, pero yung mga malalaking broker kailangan agad magpalit. Noon pang February 2025 binalaan ng SFC ang risk ng OTP, at ngayon required na talaga ito sa bagong circular.
Naging Record High ang Cyber Incidents Dahil sa Phishing
Nakarecord ang Hong Kong ng 15,877 cybersecurity incident sa 2025. Sabi ng SFC, tumaas ito ng 27% kumpara sa nakaraang taon. Phishing ang dahilan ng 57% ng mga insidente, kasunod ang botnet attack na 18%, at malware na nasa 15%.
Mas doble pa nga ito kumpara sa 7,752 na insidente na naitala pa noong 2023.
Sa buong mundo, umabot na sa nasa $306 milyon ang nalugi sa phishing na may kinalaman sa crypto wallets nitong Q1 2026 lang. Dahil dito, mas lalong inaksyunan ng SFC ang issue. Napapansin na mas madalas nang gumamit ang mga attacker ng nakaw na credentials imbes na gumamit ng technical exploit para tirahin ang mga crypto user. Naitala rin ng BeInCrypto ang ganitong pattern nitong buwan, kung saan isang phishing signature ang naka-drain ng $999,999 USDT mula sa isang Ethereum wallet.
Pinupush ng New Rules ang Crypto Platforms na Gumamit ng Passkeys
Kailangan na ngayong i-flag ng mga platform ang kahina-hinalang login, trade, at withdrawals. Dapat ma-notify din ang mga kliyente kapag may importanteng nangyayari sa kanilang account. Sabi ng SFC na si Eric Yip, dapat may matibay na authentication system ang mga kumpanya kasabay ng mabilis na incident response. Pero kahit ganun, hindi pa rin daw sapat ang prevention kapag gigil talaga ang attacker, dagdag pa niya.
Hindi rin ligtas ang mga decentralized crypto platform sa ganitong threat. Isang fake airdrop phishing scam kamakailan ang naka-drain ng $12,300 mula sa isang HyperSwap user sa loob lang ng 90 segundo. May isa pang fake Uniswap phishing site na naka-drain ng nasa $400,000 mula sa iba’t ibang wallet halos sabay din nangyari. Pinapakita ng mga sitwasyong ito na OTP ban ay solusyon lang sa iisang side ng mas malawak na credential theft problem na pinoproblema ngayon sa buong crypto industry.
Naka-focus din ang Global Regulators sa Parehong Phishing Problem
Ngayon, mismong senior management na ang mananagot kung malugi ang client dahil sa hacking. Kapag mahina ang cybersecurity controls ng company, automatic na rin itong liability nila — mas mahigpit ito kumpara sa dating rules. Kung hindi makasunod ang mga kumpanya sa 12-buwan na deadline, posible silang maharap sa enforcement action at masira ang kanilang reputation sa crypto space. Yung mga malaking broker, mas tututukan agad dahil sa new deadline.
Parehong issue rin ang hinaharap ng mga regulator sa ibang bansa. Ang crackdown ng FBI sa global cybercrime at ang freeze ng Tether sa mga crypto crime asset kasabay ng TRON T3 unit ay parehong tumatarget sa mga network na umaasa sa nakaw na credentials. Ngayon, binibigyan ng ban ng Hong Kong ng challenge ang ibang bansa gaya ng Singapore, UK, at iba pa — susunod din ba sila na magpatupad ng sariling phishing-resistant na rules, o hahayaan muna nilang lumaki ang pagkalugi bago gumalaw?
