La JCBA propone 347 pratiche per rafforzare la custodia delle criptovalute

La Japan Crypto Asset Business Association (JCBA) ha presentato il 20 ottobre una bozza contenente 347 pratiche di sicurezza per i custodi di cripto-asset, un passo che mira a standardizzare i controlli in un settore con rischi specifici non coperti dagli audit tradizionali. L'iniziativa, sebbene non vincolante, riflette la crescente pressione regolamentare globale sulla custodia degli asset digitali, un servizio chiave per gli investitori istituzionali e retail. Contesto Il Giappone, uno dei primi paesi a regolamentare i cripto-asset — con l'approvazione della Legge sui Servizi di Pagamento nel 2017 — ha mantenuto un approccio proattivo nella supervisione del settore. La JCBA, ente che raggruppa oltre 100 aziende dell'ecosistema locale, inclusi exchange e fornitori di custodia, è stata un attore chiave nell'elaborazione di standard volontari prima che questi vengano adottati da regolatori come la Financial Services Agency (FSA). L'annuncio avviene in un contesto di maggiore scrutinio sulla sicurezza dei custodi a seguito di incidenti come il collasso di FTX nel 2022 o l'hacking di Poly Network nel 2021, che hanno esposto vulnerabilità nella gestione delle chiavi private. A livello globale, giurisdizioni come l'UE — con il regolamento MiCA — e gli Stati Uniti — con proposte della SEC — hanno fatto passi avanti in quadri normativi che richiedono maggiori controlli ai fornitori di custodia. In Giappone, tuttavia, la regolamentazione attuale non dettaglia requisiti tecnici specifici per questi servizi, il che ha portato la JCBA a proporre un quadro di riferimento. Il mercato dei cripto-asset, secondo i dati di CryptoScore Pro al 21 ottobre, mostrava una leggera ripresa, con Bitcoin (BTC) quotato a $83.498 (+2,48% in 24 ore) ed Ethereum (ETH) a $2.468 (+3,54%). L'indice Crypto Fear & Greed, che misura il sentiment del mercato, si attestava a 63/100 ("avidità"), riflettendo un ottimismo moderato ma senza euforia. I fatti La bozza pubblicata dalla JCBA il 20 ottobre include 347 pratiche di sicurezza distribuite in dieci aree, come riportato da CoinPost e confermato da DiarioBitcoin . Queste aree comprendono: Governance aziendale. Gestione del personale. Sicurezza fisica delle strutture. Continuità operativa (BCP). Gestione della sub-custodia. Gestione delle chiavi private (separata dalle operazioni di firma). Operazioni di firma (distinte dalla gestione delle chiavi). Cinque aree aggiuntive non dettagliate nelle informazioni disponibili. La proposta classifica i servizi di custodia in cinque modelli: holding , intermediario , fornitura , riferimento e altri . Tuttavia, il documento non specifica quali obblighi corrispondano a ciascuna categoria né come verrebbe determinata la classificazione di un fornitore, in base alle informazioni pubblicate. Insieme alla bozza, la JCBA ha incluso due strumenti pratici: un modulo di autovalutazione in formato Excel e un registro per documentare le verifiche. Questi strumenti mirano a far sì che i custodi rivedano i propri controlli interni, sebbene l'associazione abbia chiarito che il materiale è una bozza e non una norma obbligatoria né un meccanismo di certificazione. Non è stato stabilito un calendario per l'implementazione, né è stato indicato se i 347 punti saranno esigibili in futuro. Uno degli aspetti più rilevanti del documento è la critica ai rapporti di assicurazione di terze parti, come il SOC2 . La JCBA sostiene che questi rapporti, sebbene utili per valutare i controlli generali di sicurezza aziendale, non affrontino i rischi specifici dei cripto-asset, come la gestione del ciclo di vita delle chiavi private. L'associazione non esclude completamente l'utilità del SOC2, ma insiste sul fatto che non siano sufficienti da soli per garantire la sicurezza nella custodia di asset digitali. Le informazioni disponibili non chiariscono se la JCBA preveda di effettuare valutazioni esterne dei custodi né come verificherebbe la conformità alle pratiche proposte. Non è stato inoltre dettagliato se il modulo di autovalutazione servirà come base per future revisioni o se l'associazione pubblicherà versioni aggiornate della bozza. Capire le nozioni chiave Custode di cripto-asset Un custode è un'entità che conserva e protegge asset digitali per conto di terzi, come investitori o imprese. A differenza di un exchange, che facilita la compravendita, il custode si concentra sulla sicurezza dei fondi, evitandone la perdita o il furto. Per esempio, un fondo di investimento che acquista Bitcoin può assumere un custode per gestire le chiavi private dei suoi asset, riducendo il rischio di hackeraggi o errori umani. Chiavi private e operazioni di firma Le chiavi private sono codici crittografici che consentono di autorizzare transazioni su una blockchain. Chi le controlla, controlla gli asset. Le operazioni di firma, invece, sono il processo tecnico attraverso il quale viene validata una transazione utilizzando tali chiavi. Separare entrambe le funzioni — come proposto dalla JCBA — mira a evitare che una sola persona o sistema abbia l'accesso totale ai fondi, riducendo i rischi di frode o errori. SOC2 Il rapporto SOC2 (Service Organization Control 2) è uno standard di audit che valuta i controlli di sicurezza, disponibilità, integrità e riservatezza di un'azienda. Viene emesso da società esterne ed è comune in settori come quello bancario o tecnologico. Tuttavia, la JCBA segnala che il SOC2 non copre i rischi specifici dei cripto-asset, come la gestione delle chiavi private, che richiedono protocolli più specializzati. Modelli di custodia I cinque modelli proposti dalla JCBA (holding, intermediario, fornitura, riferimento e altri) riflettono la diversità dei servizi nel settore. Per esempio, un custode di holding potrebbe conservare asset senza interagire con essi, mentre un intermediario potrebbe facilitare le transazioni. La mancanza di una definizione chiara nella bozza lascia dubbi sulle responsabilità di ogni modello, un aspetto che potrebbe essere chiarito in…