La FSA de Japón impulsa una política de seguridad agresiva para exchanges de criptomonedas en un nuevo borrador

La Agencia de Servicios Financieros de Japón (FSA) publicó recientemente un borrador de política de marco que establecerá nuevos estándares obligatorios de ciberseguridad para los exchanges de criptomonedas. Esto marca un punto de inflexión desde la seguridad individualizada y centrada en activos hacia protocolos de defensa para el ecosistema completo (por exchange), ya que los ciberataques continúan escalando en el sector de los activos digitales.

Las directrices de la política se anunciaron el 10 de febrero de 2026, introduciendo Autoevaluaciones de Ciberseguridad (CSSA) obligatorias para todos los exchanges de criptomonedas registrados que operan en Japón. 

La FSA aceptará comentarios públicos hasta el 11 de marzo, dando a actores clave como exchanges y expertos en seguridad tres semanas para proporcionar comentarios antes de que las regulaciones se finalicen para su implementación en el 2026 año fiscal de Japón (que comienza en abril de 1).

Las billeteras frías ya no son suficientes a medida que aumentan los ataques indirectos

El FSA observó un aumento en ataques indirectos sofisticados en tiempos recientes. A medida que la situación empeora, el uso exclusivo de billeteras frías puede no ser suficiente para garantizar una gestión segura de activos, lo que señala un cambio en la evolución de la filosofía regulatoria de Japón. 

Si bien las billeteras frías fuera de línea protegen los activos del hacking remoto directo, la agencia reconoció que los actores de amenazas modernos se han adaptado a esto atacando la infraestructura humana y operativa que respalda la gestión de activos digitales.

Otros analistas señalaron que el marco CSSA requerirá que los exchanges evalúen sistemáticamente diferentes aspectos de sus dominios de seguridad, ya sea infraestructura técnica (como seguridad de billeteras y arquitectura de red), riesgos humanos y operativos (incluyendo capacitación de empleados y protocolos de phishing), gestión de proveedores de terceros y protecciones de integridad de datos, que deben cumplir con la Ley de Protección de Información Personal de Japón.

Este cambio es el resultado de varias brechas de alto perfil en 2024 que expusieron estas vulnerabilidades. Las directrices se centran particularmente en ataques que eluden las defensas tecnológicas comprometiendo a los empleados a través de campañas de phishing o infiltrándose en proveedores de servicios y contratistas que mantienen acceso a los sistemas de los exchanges.

El marco de tres pilares exige la participación de toda la industria

La implementación exitosa de esta nueva política descansa en tres pilares que se combinan para crear un sistema de defensa multicapa. Incluyen autoayuda, ayuda mutua y ayuda pública, y estos pilares abordarán diferentes aspectos mientras trabajan juntos para fortalecer el sistema de seguridad de la industria.

El pilar de “autoayuda” coloca la responsabilidad primaria en los exchanges individuales para asegurar sus propias operaciones. Comenzará en el año fiscal 2026 (1 de abril) y requerirá que todos los exchanges de criptomonedas registrados realicen las evaluaciones obligatorias mencionadas anteriormente.

El pilar de “asistencia mutua” utiliza la inteligencia colectiva respaldada por la colaboración de la industria. La FSA ayudará a fortalecer las funciones del comité de seguridad de la Asociación de Exchanges de Activos Virtuales y Cripto de Japón (JVCEA), alentar a los exchanges a participar activamente en el intercambio de información para que las amenazas, patrones de ataque y estrategias defensivas puedan comunicarse mejor en todo el sector. 

Por lo tanto, si un exchange identifica una nueva estrategia de ingeniería social u otra vulnerabilidad, esa inteligencia estará disponible para proteger a otros operadores antes de que experimenten algo similar.

Finalmente, el pilar de la “ayuda pública” verá a la FSA continuar la investigación conjunta internacional sobre blockchain en amenazas emergentes que comenzó en el año fiscal 2025, así como involucrar a todo el sector de exchanges de criptomonedas en el “Delta Wall”, un ejercicio conjunto de ciberseguridad para organizaciones financieras, dentro de los tres años siguientes a la adopción de la política. 

¿Qué sigue para los exchanges que operan en Japón?

Durante el año fiscal 2026, la FSA planea realizar pruebas de penetración reales en operadores específicos y podría contratar hackers éticos para intentar intrusiones en los sistemas de exchanges en vivo. 

Estos ataques autorizados identificarán vulnerabilidades antes de que los hackers maliciosos puedan explotarlas, compartiendo los hallazgos de manera confidencial para ayudar a los exchanges afectados a parchear cualquier debilidad. Esto ayudará a proporcionar una medida objetiva de monitoreo que podría haberse pasado por alto durante las autoevaluaciones.

La estructura de tres pilares crea responsabilidad en todos los niveles, con los exchanges asumiendo la responsabilidad primaria de su propia seguridad (autoayuda), la industria compartiendo inteligencia colectiva y elevando los estándares (ayuda mutua), y la supervisión gubernamental, pruebas y apoyo (ayuda pública). 

La FSA cree que esto heraldará un ecosistema más fuerte y adaptable, capaz de defenderse contra las amenazas actuales y futuras.