FSA do Japão impõe política agressiva de segurança de exchanges de cripto em novo rascunho

A Agência de Serviços Financeiros (FSA) do Japão divulgou recentemente um novo rascunho de política de estrutura que estabelecerá novos padrões obrigatórios de cibersegurança para exchanges de criptomoedas. Isso marca um ponto de virada da segurança individualizada e focada em ativos para protocolos de defesa para o ecossistema completo (por exchange), à medida que os ciberataques continuam a escalar no setor de ativos digitais.

As diretrizes da política foram anunciadas em 10 de fevereiro de 2026, introduzendo Avaliações Obrigatórias de Cibersegurança (CSSA) para todas as exchanges de cripto registradas que operam no Japão. 

A FSA aceitará comentários públicos até 11 de março, dando a jogadores-chave como exchanges e especialistas em segurança três semanas para fornecer feedback antes que os regulamentos sejam finalizados para implementação em o 2026 ano fiscal do Japão (começando em abril de 1).

Carteiras frias (cold wallets) não são mais suficientes à medida que aumentam os ataques indiretos

O FSA observou um aumento em ataques indiretos sofisticados em tempos recentes. À medida que a situação piora, o uso exclusivo de carteiras frias pode não ser capaz de garantir a gestão segura de ativos, sinalizando uma mudança na evolução da filosofia regulatória do Japão. 

Enquanto as carteiras frias offline protegem os ativos contra hacking remoto direto, a agência reconheceu que os modernos agentes de ameaça se adaptaram a isso, mirando na infraestrutura humana e operacional que suporta a gestão de ativos digitais.

Outros analistas observaram que a estrutura CSSA exigirá que as exchanges avaliem sistematicamente diferentes aspectos de seus domínios de segurança, seja infraestrutura técnica (como segurança de carteiras e arquitetura de rede), riscos humanos e operacionais (incluindo treinamento de funcionários e protocolos de phishing), gestão de fornecedores terceirizados e proteções de integridade de dados, que devem estar em conformidade com a Lei de Proteção de Informações Pessoais do Japão.

Essa mudança ocorre como resultado de várias violações de alto perfil em 2024 que expuseram essas vulnerabilidades. As diretrizes focam particularmente em ataques que contornam defesas tecnológicas comprometendo funcionários por meio de campanhas de phishing ou infiltrando-se em provedores de serviço e contratados que mantêm acesso aos sistemas da exchange.

Estrutura de três pilares exige participação de toda a indústria

A implementação bem-sucedida desta nova política repousa em três pilares que, combinados, criam um sistema de defesa multicamada. Eles incluem autoajuda, ajuda mútua e ajuda pública, e esses pilares abordarão diferentes aspectos enquanto trabalham juntos para fortalecer o sistema de segurança da indústria.

O pilar de “autoajuda” coloca a responsabilidade primária nas exchanges individuais para garantir a segurança de suas próprias operações. Começará no ano fiscal de 2026 (1º de abril) e exigirá que todas as exchanges de criptomoedas registradas realizem as avaliações obrigatórias mencionadas anteriormente.

O pilar de “assistência mútua” usa inteligência coletiva apoiada por colaboração da indústria. A FSA ajudará a fortalecer as funções do comitê de segurança da Japan Virtual and Crypto Assets Exchange Association (JVCEA), incentivando as exchanges a participar ativamente do compartilhamento de informações para que ameaças, padrões de ataque e estratégias defensivas possam ser comunicadas melhor em todo o setor. 

Assim, se uma exchange identificar uma nova estratégia de engenharia social ou outra vulnerabilidade, essa inteligência ficará disponível para proteger outros operadores antes que eles experimentem algo semelhante.

Finalmente, o pilar de “ajuda pública” verá a FSA continuando a pesquisa conjunta internacional em blockchain sobre ameaças emergentes que começou no ano fiscal de 2025, bem como envolvendo todo o setor de exchanges de cripto no “Delta Wall”, um exercício conjunto de cibersegurança para organizações financeiras, dentro de três anos da adoção da política. 

O que esperar para as exchanges que operam no Japão?

Durante o ano fiscal de 2026, a FSA planeja realizar testes de penetração reais em operadores específicos e pode contratar hackers éticos para tentar intrusões em sistemas de exchanges ao vivo. 

Esses ataques autorizados identificarão vulnerabilidades antes que hackers maliciosos possam explorá-las, com os resultados compartilhados confidencialmente para ajudar as exchanges afetadas a corrigir quaisquer fraquezas. Isso ajudará a fornecer uma medida objetiva de monitoramento que pode ter sido negligenciada durante as autoavaliações.

A estrutura de três pilares cria responsabilidade em todos os níveis, com as exchanges assumindo a responsabilidade primária por sua própria segurança (autoajuda), a indústria compartilhando inteligência coletiva e elevando os padrões (ajuda mútua) e supervisão governamental, testes e suporte (ajuda pública). 

A FSA acredita que isso trará um ecossistema mais forte e adaptável, capaz de se defender contra ameaças atuais e futuras.