دفعة هونغ كونغ لتعزيز أمان العملات المشفرة اتخذت للتو خطوة ملموسة وذات تبعات كبيرة. فقد أصدرت هيئة الأوراق المالية والعقود الآجلة في المدينة تعميماً يحظر تسجيل الدخول باستخدام كلمات المرور ذات الاستخدام الواحد عبر جميع منصات تداول العملات المشفرة والوسطاء عبر الإنترنت — في استجابة مباشرة لوباء التصيّد الاحتيالي الذي يقوم بهدوء باستنزاف حسابات المستخدمين ويُربك البنية التحتية للأمن السيبراني في المنطقة.
Summary
أهم النقاط
- حظرت هيئة الأوراق المالية والعقود الآجلة في هونغ كونغ تسجيل الدخول عبر رموز OTP المستلمة عبر الرسائل النصية القصيرة أو البريد الإلكتروني أو التطبيقات لمنصات العملات المشفرة والوسطاء عبر الإنترنت، وفرضت بدلاً من ذلك استخدام مفاتيح المرور أو غيرها من الأساليب المقاومة للتصيّد.
- أمام المشغلين مهلة 12 شهراً للامتثال؛ بينما يتعين على الوسطاء الكبار التحرك فوراً.
- سجّلت هونغ كونغ 15,877 حادثة أمن سيبراني في عام 2025 — بزيادة قدرها 27% عن العام السابق — وكان التصيّد الاحتيالي مسؤولاً عن 57% من الحالات.
- تتحمل الإدارة العليا في المنصات المرخّصة الآن مسؤولية شخصية مباشرة عن خسائر العملاء المرتبطة بضوابط مصادقة ضعيفة.
- هجمات تصيّد حديثة استنزفت 12,300 دولار من أحد مستخدمي HyperSwap وما يقرب من 400,000 دولار من مواقع Uniswap مزيفة، ما يوضح حجم التهديد.
هونغ كونغ تحظر تسجيل الدخول عبر OTP لمكافحة مخاطر التصيّد
تعميم هيئة الأوراق المالية والعقود الآجلة مباشر بشكل غير معتاد بالنسبة لجهة تنظيمية مالية: توقفوا عن استخدام كلمات المرور ذات الاستخدام الواحد، وافعلوا ذلك الآن إذا كنتم وسيطاً كبيراً. بالنسبة للمشغلين الأصغر، فإن النافذة الزمنية هي 12 شهراً من تاريخ صدور التعميم. لا توجد أي مساحة للالتباس ولا آلية لتمديد المهلة مذكورة.
تفاصيل حظر OTP ومتطلبات المصادقة الجديدة
يشمل الحظر كل أشكال OTP الشائعة — رموز الرسائل النصية القصيرة، وروابط التحقق عبر البريد الإلكتروني، والرموز المولَّدة عبر التطبيقات — ما يلغي طبقة من طبقات أمان تسجيل الدخول التي كانت تاريخياً من أكثر الطبقات ألفة في الخدمات المالية. وبدلاً منها، يجب على المنصات تنفيذ مفاتيح مرور، وأجهزة مسجّلة مع تحقق تشفيري، ومفاتيح أمان عتادية. وصفت الهيئة هذه الحلول مجتمعة بأنها مقاومة للتصيّد، أي أنها مصممة بحيث لا يمكن استخدامها حتى لو تم خداع المستخدم لزيارة موقع احتيالي.
قال الدكتور يب تشي-هانغ، المدير التنفيذي لإدارة الوسطاء في الهيئة: “من أجل حماية حسابات العملاء من هجمات التصيّد الاحتيالي المتزايدة تعقيداً وتنوعاً، هناك حاجة إلى نهج شامل يجمع بين الوقاية والكشف والاستجابة والتوعية”. وأضاف أن على المؤسسات المرخّصة تعزيز خط الدفاع الأول لديها من خلال مصادقة قوية والاستجابة بسرعة قبل وقوع الضرر.
المنطق الكامن وراء ذلك بسيط: يمكن اعتراض رموز OTP أو إعادة توجيهها في الوقت الفعلي عبر موقع تصيّد. بينما لا يمكن ذلك مع مفاتيح المرور وربط الأجهزة تشفيرياً. المهاجم الذي يخدع مستخدماً لإدخال رمز لمرة واحدة في صفحة بورصة مزيفة يحصل على كل ما يحتاجه. أما المهاجم الذي يواجه تسجيل دخول مرتبطاً بمفتاح مرور فلن يحصل على أي شيء قابل للاستغلال.
مواعيد الامتثال والأثر الفوري على الوسطاء الكبار
تنطبق مهلة الـ 12 شهراً على نطاق واسع عبر المشغلين، لكن شركات الوساطة الكبرى عبر الإنترنت تخضع لتدقيق فوري دون فترة سماح. صياغة الهيئة — “في أقرب وقت ممكن عملياً” — تشير إلى أنها تتوقع من المؤسسات الكبيرة التعامل مع هذا الأمر كحالة طوارئ تشغيلية، لا كمرحلة مستقبلية في مشروع. الشركات التي تفوّت الموعد النهائي تخاطر بإجراءات إنفاذ وأضرار سمعة، وهو مزيج يمكن أن يؤثر على الوضع التنظيمي وثقة العملاء في سوق تُعد فيه مصداقية الترخيص كل شيء.
تصاعد هجمات التصيّد والتهديدات السيبرانية في هونغ كونغ
الأرقام الكامنة وراء هذا التنظيم صارخة. فقد سجّلت هونغ كونغ 15,877 حادثة أمن سيبراني في عام 2025، ما يمثل زيادة بنسبة 27% عن العام السابق — وأكثر من ضعف 7,752 حادثة المسجّلة في 2023. وشكّلت هجمات التصيّد والانتحال 57% من جميع الحالات المبلغ عنها، وفقاً لبيانات مركز تنسيق حوادث الأمن السيبراني في هونغ كونغ المذكورة في بيان الهيئة.
طفرة في الحوادث السيبرانية مدفوعة بالتصيّد
وتيرة التسارع لافتة. فالانتقال من نحو 7,752 حادثة في 2023 إلى ما يقرب من 16,000 بعد عامين يمثل مشكلة هيكلية، لا مجرد انحراف إحصائي. تلت هجمات شبكات الروبوت (Botnet) التصيّد بنسبة 18% من الحالات، والبرمجيات الخبيثة بنسبة 15%. لكن التصيّد هو ما يقع في صميم قلق الهيئة — تحديداً لأنه متجه الهجوم الأكثر ارتباطاً بأنظمة تسجيل الدخول المعتمدة على OTP.
وعلى مستوى العالم، تبدو الصورة مقلقة بالمثل. فقد شكّلت هجمات التصيّد الاحتيالي وعمليات الاحتيال بالهندسة الاجتماعية ما قيمته 306 ملايين دولار من إجمالي خسائر صناعة العملات المشفرة البالغة 482 مليون دولار في الربع الأول من عام 2026 وحده. وشهد النصف الأول من العام وصول الخسائر المرتبطة بالتصيّد إلى 366 مليون دولار، وفقاً لبيانات تتبع صناعية مذكورة في تقارير داعمة.
حالات بارزة لسرقة العملات المشفرة مرتبطة بعمليات تصيّد
توضح حالتان حديثتان بالضبط ما تحاول الهيئة إيقافه. فقد استنزف مخطط تصيّد عبر إنزال جوي (airdrop) مزيف 12,300 دولار من أحد مستخدمي HyperSwap في أقل من 90 ثانية. وفي الفترة نفسها تقريباً، نشر المحتالون إعلانات خبيثة على غوغل تنتحل صفة منصة التداول اللامركزية Uniswap، واستطاعوا سحب ما يقرب من 400,000 دولار من عدة محافظ عبر موقع مزيف. كلتا الحالتين شملتا سرقة بيانات الاعتماد في لحظة تسجيل الدخول — وهي الثغرة نفسها التي تتركها أنظمة OTP مفتوحة.
هذه ليست حالات هامشية معزولة. فقد خسر مستثمر في العملات المشفرة ما يقرب من مليون دولار بعد توقيع موافقة رمزية خبيثة للتصيّد على شبكة إيثريوم. وخسر حامل محفظة آخر ما يُقال إنه 1.65 مليون دولار بعد الاتصال ببورصة مزيفة وتوقيع عقد منح المهاجمين صلاحية غير محدودة للوصول إلى الأموال. النمط متسق وقابل للتوسع ويزداد صعوبة في التمييز عن تفاعلات المنصات المشروعة.
إنفاذ تنظيمي ومسؤولية الإدارة
ربما يكون العنصر الأكثر تبعات في الإطار الجديد هو مكان تحمّل المسؤولية. فقد أوضحت الهيئة أن الإدارة العليا في المنصات المرخّصة تتحمل المسؤولية النهائية عن حماية حسابات العملاء. لم تعد ضوابط الأمن السيبراني الضعيفة فجوة امتثال يمكن معالجتها بهدوء — بل أصبحت سبباً مباشراً لمسؤولية الإدارة عندما تحدث خسائر للعملاء.
مسؤولية الإدارة العليا عن خسائر العملاء
يمثل هذا معياراً أكثر صرامة من التوجيهات السابقة. ففي السابق، كان التعرض التنظيمي للشركات يتركز أساساً على العقوبات المؤسسية. أما الإطار الجديد فيضع المديرين التنفيذيين الأفراد في الواجهة. فإذا كانت ضوابط المصادقة في منصة ما غير كافية وخسر عميل أموالاً بسبب هجوم تصيّد، فإن سلسلة المسؤولية تمتد الآن مباشرة إلى الأشخاص في قمة هرم الشركة.
يغيّر هذا التحول في المساءلة الحسابات الداخلية بشكل كبير. فستجد فرق الامتثال أنه من الأسهل بكثير تأمين الميزانية والأولوية لترقيات المصادقة عندما يكون البديل هو المسؤولية الشخصية للرئيس التنفيذي أو المدير التقني.
عواقب عدم الامتثال والمتطلبات التشغيلية
بعيداً عن مسألة المسؤولية، يجب على المنصات الآن تنفيذ أنظمة كشف ومراقبة مستمرة قادرة على تحديد عمليات تسجيل الدخول والتداولات وعمليات السحب المشبوهة في الوقت الفعلي. كما يُطلب منها إخطار العملاء فوراً بالأنشطة المهمة على الحساب — بما يشمل أحداث ربط الأجهزة، وشذوذات تسجيل الدخول، وأنماط المعاملات غير المعتادة — وتحذير المستخدمين بانتظام من عمليات الاحتيال الجديدة التي تنتحل صفة المنصات.
تواجه الشركات التي تفوّت مهلة الـ 12 شهراً إجراءات إنفاذ وأضراراً في السمعة. وفي بيئة العملات المشفرة المنظمة بإحكام في هونغ كونغ، حيث تُعد مصداقية الترخيص عاملاً تنافسياً فارقاً، يحمل هذا المزيج وزناً حقيقياً.
ما الذي يعنيه ذلك لصناعة العملات المشفرة العالمية؟
حظر هونغ كونغ لا يوجد في فراغ. فمكتب التحقيقات الفيدرالي (FBI) ينفذ حملات عالمية على الجريمة السيبرانية تستهدف شبكات مبنية على بيانات اعتماد مسروقة. وتقوم شركة تيثِر، العاملة جنباً إلى جنب مع وحدة T3 التابعة لـ TRON، بتجميد أصول مشفرة مرتبطة بعمليات سرقة بيانات اعتماد منظمة. من الواضح أن المجتمعات التنظيمية والإنفاذية تتحرك في الاتجاه نفسه — وقد تحركت هونغ كونغ أسرع من معظمها.
السؤال الآن هو ما إذا كان نظراؤها في سنغافورة والمملكة المتحدة وغيرها من الولايات القضائية التنظيمية الكبرى للعملات المشفرة سيتعاملون مع هذا كقالب يُحتذى أو سينتظرون حتى تصل إحصاءات الخسائر لديهم إلى مستوى مماثل. لقد وضع إطار MiCAR، وهو إطار الاتحاد الأوروبي للعملات المشفرة الذي دخل حيز التنفيذ الكامل في 1 يوليو 2026، معايير صارمة للحَوْكمة والامتثال — لكنه لا يفرض بعد مفاتيح المرور تحديداً. وقد يصبح الفارق بين متطلبات الأمن السيبراني العامة وبين نوع التفويض الخاص بالمصادقة الذي أصدرته هونغ كونغ للتو الجبهة التالية للتقارب التنظيمي.
بالنسبة لمنصات العملات المشفرة العاملة عالمياً، فإن الأثر العملي واضح بالفعل: فالبنية التحتية التقنية المطلوبة للامتثال في هونغ كونغ — مفاتيح المرور، وربط الأجهزة تشفيرياً، والكشف عن الشذوذ في الوقت الفعلي — هي بالضبط ما يُرجَّح أن يطالب به المنظمون في أماكن أخرى تالياً. بناء هذه البنية الآن، بدلاً من بنائها على أساس كل ولاية قضائية على حدة، قد يكون المسار الأكثر عقلانية للمضي قدماً.
الأسئلة الشائعة
ما طرق تسجيل الدخول التي حظرتها هونغ كونغ لمنصات العملات المشفرة؟
حظرت هيئة الأوراق المالية والعقود الآجلة في هونغ كونغ كلمات المرور ذات الاستخدام الواحد المستلمة عبر الرسائل النصية القصيرة والبريد الإلكتروني والتطبيقات لتسجيل الدخول إلى منصات تداول العملات المشفرة وربط الأجهزة.
ما طرق المصادقة المطلوبة بدلاً من OTP؟
يجب على المنصات تنفيذ مفاتيح مرور، وأجهزة مسجّلة مع تحقق تشفيري، ومفاتيح أمان عتادية — وهي أساليب تصفها الهيئة بأنها حلول مقاومة للتصيّد لا يمكن اعتراضها عبر هجمات التصيّد التقليدية.
ما المواعيد النهائية أمام منصات العملات المشفرة للامتثال للقواعد الجديدة؟
أمام المشغلين مهلة 12 شهراً للامتثال لمتطلبات المصادقة الجديدة. أما شركات الوساطة الكبرى عبر الإنترنت فيجب عليها التحول إلى الأساليب الجديدة فوراً دون فترة سماح.
ما عواقب الشركات التي تفشل في الالتزام بالموعد النهائي للامتثال؟
تخاطر الشركات التي تفوّت الموعد النهائي بإجراءات إنفاذ تنظيمية وأضرار في السمعة. بالإضافة إلى ذلك، يمكن تحميل الإدارة العليا مسؤولية مباشرة عن خسائر العملاء الناجمة عن ضوابط أمن سيبراني غير كافية — وهو معيار مساءلة أكثر صرامة من التوجيهات السابقة.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ما طرق تسجيل الدخول التي حظرتها هونغ كونغ لمنصات العملات المشفرة؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”حظرت هيئة الأوراق المالية والعقود الآجلة في هونغ كونغ كلمات المرور ذات الاستخدام الواحد المستلمة عبر الرسائل النصية القصيرة والبريد الإلكتروني والتطبيقات لتسجيل الدخول إلى منصات تداول العملات المشفرة وربط الأجهزة.”}},{“@type”:”Question”,”name”:”ما طرق المصادقة المطلوبة بدلاً من OTP؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”يجب على المنصات تنفيذ مفاتيح مرور، وأجهزة مسجّلة مع تحقق تشفيري، ومفاتيح أمان عتادية — وهي أساليب تصفها الهيئة بأنها حلول مقاومة للتصيّد لا يمكن اعتراضها عبر هجمات التصيّد التقليدية.”}},{“@type”:”Question”,”name”:”ما المواعيد النهائية أمام منصات العملات المشفرة للامتثال للقواعد الجديدة؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”أمام المشغلين مهلة 12 شهراً للامتثال لمتطلبات المصادقة الجديدة. أما شركات الوساطة الكبرى عبر الإنترنت فيجب عليها التحول إلى الأساليب الجديدة فوراً دون فترة سماح.”}},{“@type”:”Question”,”name”:”ما عواقب الشركات التي تفشل في الالتزام بالموعد النهائي للامتثال؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”تخاطر الشركات التي تفوّت الموعد النهائي بإجراءات إنفاذ تنظيمية وأضرار في السمعة. بالإضافة إلى ذلك، يمكن تحميل الإدارة العليا مسؤولية مباشرة عن خسائر العملاء الناجمة عن ضوابط أمن سيبراني غير كافية — وهو معيار مساءلة أكثر صرامة من التوجيهات السابقة.”}}]}
تم إعداد هذه المقالة بمساعدة الذكاء الاصطناعي ومراجعتها من قبل الفريق التحريري.
