La FSA del Giappone spinge una politica aggressiva di sicurezza per gli exchange di criptovalute in un nuovo progetto

La Financial Services Agency (FSA) del Giappone ha recentemente rilasciato un nuovo progetto di politica di framework che stabilirà nuovi standard di cybersecurity obbligatori per gli exchange di criptovalute. Questo segna un punto di svolta dalla sicurezza individualizzata e focalizzata sull'asset ai protocolli di difesa per l'intero ecosistema (per exchange) mentre gli attacchi informatici continuano a intensificarsi nel settore degli asset digitali.

Le linee guida sulla politica sono state annunciate il 10 febbraio 2026, introducendo Autovalutazioni Obbligatorie di Cybersecurity (CSSA) per tutti gli exchange di criptovalute registrati che operano in Giappone. 

La FSA accetterà commenti pubblici fino all'11 marzo, dando alle parti interessate come exchange ed esperti di sicurezza tre settimane per fornire feedback prima che le regolamentazioni siano finalizzate per l'implementazione in l'anno fiscale del Giappone 2026 (che inizia ad aprile 1).

I portafogli cold non sono più sufficienti poiché aumentano gli attacchi indiretti

Il FSA ha osservato un aumento di attacchi indiretti sofisticati negli ultimi tempi. Man mano che la situazione peggiora, l'uso esclusivo dei portafogli cold potrebbe non essere in grado di garantire una gestione sicura degli asset, segnalando così un cambiamento nell'evoluzione della filosofia normativa del Giappone. 

Mentre i portafogli cold offline proteggono gli asset dagli attacchi di hacking remoti diretti, l'agenzia ha riconosciuto che gli attori delle minacce moderni si sono adattati a questo colpendo l'infrastruttura umana e operativa che supporta la gestione degli asset digitali.

Altri analisti hanno notato che il framework CSSA richiederà agli exchange di valutare sistematicamente diversi aspetti dei loro domini di sicurezza, sia l'infrastruttura tecnica (come la sicurezza dei portafogli e l'architettura di rete), i rischi umani e operativi (inclusa la formazione dei dipendenti e i protocolli di phishing), la gestione dei fornitori terzi e le protezioni dell'integrità dei dati, che devono essere conformi alla Legge sulla Protezione delle Informazioni Personali del Giappone.

Questo cambiamento è il risultato di diverse violazioni di alto profilo nel 2024 che hanno esposto queste vulnerabilità. Le linee guida si concentrano in particolare sugli attacchi che aggirano le difese tecnologiche compromettendo i dipendenti attraverso campagne di phishing o infiltrandosi nei fornitori di servizi e appaltatori che mantengono l'accesso ai sistemi degli exchange.

Un framework a tre pilastri richiede la partecipazione di tutto il settore

L'implementazione di successo di questa nuova politica si basa su tre pilastri che si combinano per creare un sistema di difesa multilivello. Essi includono auto-aiuto, aiuto reciproco e aiuto pubblico, e questi pilastri affronteranno diversi aspetti lavorando insieme per rafforzare il sistema di sicurezza del settore.

Il pilastro dell'"auto-aiuto" colloca la responsabilità primaria sugli exchange individuali per garantire la sicurezza delle proprie operazioni. Inizierà nell'anno fiscale 2026 (1 aprile) e richiederà a tutti gli exchange di criptovalute registrati di condurre le valutazioni obbligatorie menzionate in precedenza.

Il pilastro dell'"assistenza reciproca" utilizza l'intelligenza collettiva supportata da collaborazione del settore. La FSA aiuterà a rafforzare le funzioni del comitato per la sicurezza dell'Associazione Giapponese degli Exchange di Asset Virtuali e Cripto (JVCEA), incoraggiando al contempo gli exchange a partecipare attivamente alla condivisione di informazioni in modo che le minacce, i modelli di attacco e le strategie difensive possano essere comunicati meglio in tutto il settore. 

Pertanto, se un exchange identifica una nuova strategia di ingegneria sociale o un'altra vulnerabilità, quell'intelligenza diventerà disponibile per proteggere altri operatori prima che sperimentino qualcosa di simile.

Infine, il pilastro dell'"aiuto pubblico" vedrà la FSA continuare la ricerca congiunta internazionale sulla blockchain sulle minacce emergenti che ha iniziato nell'anno fiscale 2025, nonché coinvolgere l'intero settore degli exchange di criptovalute nel "Delta Wall", un esercizio congiunto di cybersecurity per le organizzazioni finanziarie, entro tre anni dall'adozione della politica. 

Cosa succede dopo per gli exchange che operano in Giappone?

Durante l'anno fiscale 2026, la FSA prevede di condurre test di penetrazione reali su operatori specifici e potrebbe assumere hacker etici per tentare intrusioni nei sistemi di exchange attivi. 

Questi attacchi autorizzati identificheranno le vulnerabilità prima che gli hacker malintenzionati possano sfruttarle, con i risultati condivisi in modo confidenziale per aiutare gli exchange interessati a correggere eventuali debolezze. Questo aiuterà a fornire una misura oggettiva di monitoraggio che potrebbe essere stata trascurata durante le autovalutazioni.

La struttura a tre pilastri crea responsabilità a ogni livello, con gli exchange che assumono la responsabilità primaria per la propria sicurezza (auto-aiuto), il settore che condivide l'intelligenza collettiva e innalza gli standard (aiuto reciproco) e la supervisione governativa, i test e il supporto (aiuto pubblico). 

La FSA crede che questo annuncerà un ecosistema più forte e adattivo, capace di difendersi dalle minacce attuali e future.