Exchange asiatici, sicurezza e regole: la custodia torna al centro

La sicurezza degli exchange di criptovalute è tornata al centro dell’agenda asiatica mentre, nella stessa regione, avanzano progetti di tokenizzazione e sperimentazioni sulle stablecoin. Il quadro delineato dalle segnalazioni disponibili non descrive una scelta tra innovazione e protezione: mostra piuttosto quanto le due dimensioni siano ormai inseparabili. La possibilità di negoziare o regolare attività finanziarie su registri digitali dipende dalla tenuta dei sistemi che custodiscono chiavi, autorizzano trasferimenti e gestiscono gli incidenti.

In India, il CERT-In ha segnalato attività attribuite a un soggetto denominato “CRAFTY FALCON”, indicato come attivo contro exchange di criptovalute, società finanziarie non bancarie e fintech. L’avviso richiama il possibile impiego di strumenti di intelligenza artificiale nell’attività offensiva e riferisce di attacchi riusciti anche ai danni di soggetti che avevano già ricevuto precedenti comunicazioni riservate. La notizia non dimostra che l’intelligenza artificiale sostituisca le vulnerabilità tecniche o gli errori operativi; evidenzia però il rischio che strumenti automatizzati riducano i tempi necessari per individuare configurazioni esposte, sottrarre credenziali o condurre campagne mirate.

Per un exchange, il nodo non coincide con la sola protezione della blockchain. Una piattaforma che conserva criptoattività per conto dei clienti governa una catena composta da chiavi private, portafogli, sistemi informatici, permessi amministrativi e procedure di firma. La compromissione di uno di questi elementi può incidere sulla capacità di autorizzare o bloccare movimenti di fondi. La qualità della risposta dipende quindi anche dalla rapidità con cui un operatore rileva l’anomalia, isola i sistemi coinvolti e revoca gli accessi compromessi.

In Corea del Sud, la Financial Services Commission ha invitato gli operatori del settore ad aumentare la quota di attività custodite in cold wallet, riesaminando inoltre controlli sugli accessi informatici, procedure di approvazione dei prelievi, firme e privilegi degli amministratori. I cold wallet sono portafogli le cui chiavi non restano permanentemente connesse a Internet. Questa separazione può ridurre l’esposizione immediata agli attacchi remoti, ma non rende irrilevanti gli altri presìdi: dispositivi di firma, procedure fisiche, ruoli autorizzativi e passaggi necessari per trasferire fondi restano parte del perimetro di sicurezza.

Il resoconto disponibile afferma che la normativa sudcoreana richieda agli exchange di conservare almeno l’80% delle criptoattività dei clienti in custodia a freddo e riporta percentuali superiori per alcune piattaforme. Anche qualora tali percentuali siano rispettate, la custodia offline non equivale di per sé a una garanzia di rimborso né certifica la solidità complessiva di un intermediario. La protezione tecnica delle riserve è distinta dalla segregazione contabile, dalla disponibilità di liquidità per i prelievi, dalle condizioni contrattuali e dalla disciplina applicabile in caso di sospensione del servizio o insolvenza.

Nello stesso Paese, la Bank of Korea sta raccogliendo informazioni da 31 istituzioni finanziarie sugli effetti di diversi scenari: la sospensione temporanea dell’operatività di un grande exchange dopo un grave incidente, una forte discesa delle quotazioni seguita da un prolungato rallentamento degli scambi e perdite connesse alle criptoattività presso un’altra istituzione. L’esercizio non stabilisce che questi eventi si verificheranno. Indica tuttavia che il rischio operativo degli exchange viene considerato anche in relazione ai soggetti finanziari che possono essere esposti al comparto, direttamente o attraverso rapporti commerciali e infrastrutture di servizio.

L’altra faccia di questo processo è l’espansione delle infrastrutture digitali regolamentate. A Hong Kong, il Project Ensemble è stato esteso per consentire il regolamento continuativo di transazioni tokenizzate, mentre sono previsti test con stablecoin regolamentate e titoli di Stato tokenizzati. Separatamente, il dossier riferisce dell’avvio della negoziazione secondaria di due fondi monetari tokenizzati autorizzati dalla Securities and Futures Commission attraverso canali indicati come abilitati.

Tokenizzare un fondo o un titolo significa utilizzare una rappresentazione digitale nel trasferimento o nel regolamento dello strumento. Non significa, tuttavia, che l’attività sottostante diventi automaticamente più liquida, meno rischiosa o priva di vincoli. I diritti dell’investitore dipendono dalla documentazione del prodotto, dal gestore, dall’intermediario e dalle regole della giurisdizione competente. Allo stesso modo, una stablecoin progettata per mantenere un valore stabile rispetto a una valuta richiede valutazioni sulle riserve, sulle modalità di rimborso, sulla governance dell’emittente e sul quadro di vigilanza.

La stessa tensione tra sviluppo del mercato e conformità emerge in altri episodi richiamati nel dossier. Crypto.com ha comunicato l’intenzione di interrompere dal 1° febbraio 2027 i servizi della propria app per clienti retail a Hong Kong, dichiarando di voler proseguire il percorso autorizzativo per un exchange istituzionale. In Thailandia, l’autorità di vigilanza ha riferito di avere presentato una denuncia contro il gestore di Bitget, accusandolo di avere offerto servizi senza licenza, e ha annunciato il blocco di sito e applicazione dal 5 dicembre. In Vietnam, le regole del Ministero delle Finanze citate nel resoconto prevedono che gli exchange autorizzati segnalino incidenti di sicurezza e piani di rimedio entro 24 ore.

Questi casi non sono sovrapponibili, perché riguardano giurisdizioni, operatori e provvedimenti diversi. Mostrano però un principio pratico: l’accessibilità di un’applicazione non coincide necessariamente con la piena autorizzazione dell’operatore, e un’interruzione del servizio può trasformare la custodia e i prelievi in questioni immediate per gli utenti. Per le imprese, licenze, controlli e comunicazioni degli incidenti non sono elementi accessori, ma componenti del rischio operativo.

Il dato più rilevante non è dunque una contrapposizione tra finanza tradizionale e finanza digitale. Da un lato, le autorità e gli operatori sperimentano strumenti tokenizzati, regolamenti più rapidi e forme digitali di moneta. Dall’altro, gli allarmi sugli attacchi e le verifiche sulla continuità operativa ricordano che l’infrastruttura resta la condizione essenziale di ogni innovazione. La tecnologia può modificare tempi e modalità dei trasferimenti, ma non elimina la necessità di definire chi controlla gli accessi, come vengono firmate le operazioni e che cosa accade quando un sistema viene compromesso.