Corea del Sur DAXA obliga a las cinco principales bolsas a invalidar claves API sospechosas compartidas y despliega una lista blanca de IP

La Asociación de Casas de Cambio de Activos Digitales de Corea (DAXA) presentó el 29 de mayo un nuevo estándar de cumplimiento, que exige que Upbit, Bithumb, Coinone, Korbit y Gopax revoquen las claves API presuntamente compartidas de forma inapropiada entre usuarios. DAXA confirmó que implementará un sistema de lista blanca de IP, pero aún no ha divulgado métodos específicos de detección del uso compartido de API.

Nuevas medidas confirmadas por la DAXA: revocación, nueva verificación y lista blanca de IP

En sus nuevas normas, DAXA confirmó que, una vez que las bolsas miembros detecten conductas sospechosas de uso compartido de API, aplicarán medidas por etapas: reforzar la supervisión, emitir advertencias a los usuarios, posteriormente exigir una re-verificación obligatoria y, finalmente, revocar las claves API presuntamente compartidas.

Al mismo tiempo, las bolsas miembros desplegarán un sistema de lista blanca de IP, limitando el acceso a la API únicamente a conexiones provenientes de direcciones aprobadas por ellas mismas. Binance, Coinbase, OKX y Kraken ya habían respaldado la lista blanca de IP y la gestión de permisos de API; la nueva norma de DAXA es imponer este tipo de controles de forma obligatoria en las bolsas de Corea.

Antecedentes conocidos sobre el historial de manipulación de FSS y el abuso de API

FSS señaló que algunos traders utilizan el método de “enviar y cancelar repetidamente grandes órdenes de compra” para fabricar señales de demanda falsa, y luego ejecutar órdenes de venta después de que el precio sea impulsado al alza. FSS confirmó que no reveló la cantidad de cuentas actualmente bajo investigación.

En cuanto a los antecedentes históricos, en el incidente de 3Commas de marzo de 2022 se filtraron aproximadamente 100 mil claves API, cuyas claves estaban asociadas con cuentas de Binance y KuCoin. La empresa de infraestructura cripto Sodot confirmó que muchos incidentes relacionados con API suelen clasificarse de forma genérica como ataques de piratería comunes, sin revelarse correctamente como incidentes de filtración de credenciales.

Preguntas frecuentes

¿Qué medidas específicas exige la nueva regla de API de DAXA y a qué bolsas aplica?

Según la confirmación de DAXA, la nueva norma exige que las cinco bolsas Upbit, Bithumb, Coinone, Korbit y Gopax, una vez detectada una supuesta compartición de API, realicen: reforzar la supervisión, emitir advertencias a los usuarios, realizar una re-verificación obligatoria, revocar finalmente las claves API presuntamente compartidas y desplegar un sistema de lista blanca de IP. DAXA confirmó que no divulgó los métodos específicos de detección.

¿Cuál es el método de manipulación del mercado confirmado por FSS y qué tipo de infracción constituye?

FSS confirmó que los métodos de manipulación marcados incluyen: enviar y cancelar repetidamente grandes órdenes de compra para fabricar señales de demanda falsa, y luego ejecutar órdenes de venta después de que el precio sea impulsado al alza; esto constituye una conducta tipo cotización engañosa de mercado (Spoofing). FSS confirmó que no reveló la cantidad específica de cuentas bajo investigación.

¿Qué relación de antecedentes existe entre el incidente de 3Commas de 2022 y esta nueva norma de DAXA?

El incidente de 3Commas ocurrió en 2022, con la filtración de aproximadamente 100 mil claves API, asociadas con cuentas de Binance y KuCoin. La nueva norma de DAXA busca exigir de forma proactiva a las bolsas la detección y gestión de conductas de uso compartido de API desde el punto de vista del cumplimiento, en lugar de esperar a responder solo después de que ocurra una filtración.