Die Wertpapieraufsicht von Hongkong hat die Nutzung von Einmalpasswörtern für den Login auf Krypto-Handelsplattformen verboten. Mit dieser Regel will die Aufsicht Phishing-Betrug bekämpfen, der die Ursache für den Anstieg von Cybervorfällen in der Region ist.
Die Securities and Futures Commission hat ein Rundschreiben veröffentlicht. Es verpflichtet Internet-Broker und Krypto-Handelsplattformen, keine SMS-, E-Mail- oder App-basierten Einmalpasswörter (OTP) mehr zu nutzen.
Plattformen müssen die Anmeldung der Kunden und das Binden von Geräten auf Passkeys und andere Methoden umstellen, die gegen Phishing resistent sind. Betreiber haben 12 Monate Zeit, die neuen Regeln umzusetzen, große Broker müssen jedoch sofort handeln. Die SFC hatte bereits im Februar 2025 auf OTP-Risiken hingewiesen. Mit diesem Rundschreiben werden die Maßnahmen nun verbindlich.
Phishing sorgt für Rekordjahr bei Cybervorfällen
In Hongkong gab es 15.877 Cybervorfälle im Jahr 2025. Die SFC teilt mit, dass dies ein Anstieg um 27% im Vergleich zum Vorjahr ist. Phishing war die Ursache bei 57% der Fälle. Botnet-Angriffe machten 18% aus, Schadsoftware lag bei 15%.
Die Zahl der Vorfälle im Jahr 2025 ist mehr als doppelt so hoch wie die 7.752 Vorfälle im Jahr 2023.
Globale Verluste durch Phishing im Zusammenhang mit Krypto-Wallets lagen im ersten Quartal 2026 allein bei rund 306 Millionen USD. Dieser Wert hat die SFC daher zum Handeln bewegt. Angreifer greifen zunehmend auf gestohlene Zugangsdaten zurück, statt auf technische Schwachstellen, um Krypto-Nutzer zu attackieren. BeInCrypto hat in diesem Monat ein ähnliches Muster beobachtet: Eine Phishing-Signatur entzog 999.999 USDT aus einer einzigen Ethereum-Wallet.
Neue Regeln bringen Krypto-Plattformen zu Passkeys
Plattformen müssen verdächtige Anmeldungen, Handelsaktivitäten und Abhebungen melden. Sie müssen ihre Kunden zudem bei wichtigen Vorgängen am Konto informieren. Eric Yip von der SFC betonte, dass Unternehmen eine starke Authentifizierung und schnelle Reaktion bei Vorfällen benötigen. Dennoch reiche allein Prävention selten aus, um entschlossene Angreifer zu stoppen, fügte er hinzu.
Zudem stehen dezentrale Krypto-Plattformen vor ähnlichen Bedrohungen. Ein Fake-Airdrop-Phishing-Versuch hat kürzlich 12.300 USD innerhalb von weniger als 90 Sekunden von einem HyperSwap-Nutzer gestohlen. Ebenso hat eine gefälschte Uniswap-Phishing-Seite rund 400.000 USD von mehreren Wallets abgezogen. Diese Fälle zeigen, das OTP-Verbot löst nur einen Teil des größeren Problems, das durch gestohlene Zugangsdaten in der Krypto-Branche entsteht.
Globale Aufsichtsbehörden unter ähnlichem Phishing-Druck
Die SFC macht nun das obere Management direkt für Verluste der Kunden verantwortlich. Darüber hinaus führen schwache Cyber-Sicherheitsmaßnahmen zur Haftung, was einen strengeren Standard als die vorherigen Vorgaben bedeutet. Unternehmen, die die 12-Monatsfrist verpassen, riskieren Durchsetzungsmaßnahmen und einen Reputationsschaden in der gesamten Krypto-Branche. Große Broker werden unter den neuen Vorschriften sofort geprüft.
Auch Behörden in anderen Ländern stehen unter ähnlichem Phishing-Druck. Die globale Cybercrime-Initiative des FBI und Tethers eingefrorene Krypto-Vermögenswerte durch Einheiten wie TRONs T3 richten sich ebenfalls gegen Netzwerke, die auf gestohlenen Zugangsdaten basieren. Das Verbot in Hongkong stellt nun eine wichtige Frage an Länder wie Singapur, das Vereinigte Königreich und andere. Werden andere Aufsichtsbehörden ebenfalls eigene Phishing-resistente Vorgaben machen, oder warten sie ab, bis die Verluste weiter steigen?
