בין בייננס לירושלים: הרגולציה החדשה לקריפטו

לפני שבועיים דיווחה בייננס על פריצה שבמסגרתה נגנבו נכסי קריפטו בשווי של 6.3 מיליארד דולר בתוך 20 דקות בלבד. החברה השעתה את המשיכות והודיעה שתכסה את ההפסדים ממשאביה. ההודעה הרגיעה את השוק, אך אינה עונה על השאלה המרכזית: כיצד שוק המנהל נכסים בהיקפים עצומים עדיין חשוף לאירועים כאלה, אחרי שנים של זיהוי חולשות במשמורת ובאבטחה?

החקירה טרם הושלמה. עם זאת, לפי עדכוני החברה, החשד הראשוני מתמקד במחשב נייד שנפרץ, ולא נמצאו ראיות לדליפת המפתחות הפרטיים של הלקוחות. אם הממצאים יאומתו, הכשל לא היה בהצפנה עצמה, אלא בהשתלטות על רכיב בתשתית המוסמכת להורות על העברת נכסים. גם אירועים קודמים מצביעים על מכנה משותף: נקודות הכשל מצויות בממשקים שבין מערכות, בעלי הרשאות, ספקי שירות ותהליכי אישור.

ובינתיים בישראל

בעיתוי כמעט קוסמי, פרסם משרד האוצר להערות הציבור את תזכיר חוק תיקון תחולת דיני ניירות ערך בנוגע לנכסים דיגיטליים. התזכיר מציע לתקן את חוק ניירות ערך, את חוק השקעות משותפות בנאמנות, את חוק הייעוץ ואת חוק איסור הלבנת הון, ומטרתו להרחיב את פיקוח רשות ניירות ערך לנכסים דיגיטליים, תוך שמירה על עקרון הניטרליות הטכנולוגית.

הלכה למעשה, הטכנולוגיה העומדת מאחורי מוצר או שירות, יהא שמה אשר יהא, מאבדת מחשיבותה; מה שקובע את תחולת הדין הם מאפייני המוצר או השירות. במילים אחרות: אם זה נראה כמו ברווז, הולך כמו ברווז ומקרקר כמו ברווז, זה ברווז.

המשמעות המעשית רחבה. פלטפורמת מסחר רב-צדדית בנכסי השקעה דיגיטליים תידרש לרישיון בורסה מהרשות, גם כשהנכסים אינם ניירות ערך במובנם הקלאסי. ייעוץ, שיווק וניהול תיקים בקריפטו יחייבו רישיון לפי חוק הייעוץ. ולא מדובר בעניין מקומי בלבד: חובות הרישוי יחולו גם על גופים זרים המשרתים לקוחות ישראלים.

התזכיר מעניק לרשות ניירות ערך סמכות רחבה לקבוע הוראות לבורסות לנכסים דיגיטליים בנושאי נהלים, סייבר, המשכיות עסקית, ניגודי עניינים וכשירות בעלי תפקיד. לגבי בורסה המשרתת לקוחות ישירות, תוכל הרשות לקבוע הוראות גם בנושאי שמירת נכסי לקוחות ומיקור חוץ. כאן נמצא החיבור הישיר לאירוע בייננס.

לכאורה, מרכז הכובד של הפיקוח על נותני שירותים בתחום הקריפטו עובר מרשות שוק ההון לרשות ניירות ערך. ואולם, לפי התזכיר, משמורת ללקוחות קמעונאיים ושירותי המרה נותרים תחת חוק שירותים פיננסיים מוסדרים, ורק שירותי סליקה ומשמורת לתשתיות מפוקחות עוברים לרשות ניירות ערך. לדעתנו, זו אחת הבעיות המרכזיות בתזכיר: דווקא שמירת נכסי הציבור, החוליה שנפרצה באירוע בייננס, נותרת מחוץ למסגרת החדשה.

הניסיון מלמד, כי רגולציה מפוצלת עלולה להוביל לתוצאות לא מיטביות, הן ברמה הפיקוחית והן ברמת הוודאות העסקית. ברמה הפיקוחית, נטייתם של רגולטורים להסתמך זה על זה עלולה להפיל את הפיקוח בין הכיסאות. ברמה העסקית, וזה אולי יפתיע, גופים עסקיים, בייחוד כאלה הפועלים בזירה הבינלאומית, מעדיפים רגולציה נוקשה על פני אי-ודאות וחוסר קוהרנטיות. לכן נדרש, לכל הפחות, ממשק אחיד ושיתוף פעולה מוסדר בין כל הרגולטורים העוסקים במלאכה, ויש לא מעט כאלה. מחדלי אבטחה אינם עוצרים בגבולות הסמכות של רגולטור זה או אחר.

מעקרונות לדרישות

הבעיה אינה מחסור בעקרונות. ארגון IOSCO פרסם כבר ב-2023 המלצות מקיפות בתחום, לרבות ניהול סיכונים תפעוליים ושמירת נכסי לקוחות. הפער הוא בין קיומם של העקרונות לבין יישומם. לכן, ההוראות שתגבש הרשות צריכות לכלול ארבעה רכיבים לפחות:

• בורסת ניו יורק בחרה ברשת Avalanche לסליקת מניות - המטבע מזנק בכ-7%
• גנבו מבייננס 6.3 מיליארד דולר, ועכשיו גם סמנכ״ל הכספים עוזב

• בקרות בלתי תלויות על העברות נכסים בהיקפים משמעותיים, לרבות מנגנוני אישור נפרדים ומגבלות על הרשאות.

• מבדקי חדירה ותרחישי קיצון המדמים השתלטות על מערכות פנימיות ועל ספקי שירות חיצוניים, ולא רק מתקפות על הארנקים.

• מנגנון דיווח מהיר ואחיד על אירועי סייבר משמעותיים, שיאפשר לזהות דפוסי תקיפה חוזרים.

• הפרדה בין נכסי הלקוחות לנכסי החברה ודרישות הון ונזילות, שכן אין להסתמך על יכולתה או על נכונותה של חברה מסוימת לשאת בהפסדים.

גם כאן נדרש שיתוף פעולה. אחד הפרטים הבולטים באירוע בייננס הוא שיתוף הפעולה עם מנפיקי מטבעות, חברות מודיעין ורשויות אכיפה, שלפי החברה אפשר להקפיא נכסים בשווי של-3 מיליארד דולר. אך שיתוף פעולה בדיעבד אינו תחליף למנגנון מתואם שהוגדר מראש. על ישראל לשלב בהסדר גם ערוצי תיאום בינלאומיים לאיתור נכסים גנובים ולהקפאתם.

• נובולוג תשלם 5 מיליון שקל בעקבות שיבושים באספקת תרופות
• סעיף אחד בצוואה מ-2017 עלה לשכן בדירה וב-35 אלף שקל

אירועים כמו זה שאירע בבייננס אינם ניתנים למניעה מוחלטת. המבחן של הרגולטורים אינו עוד רגולציה, אלא היכולת להבטיח שכל חברה תפיק לקחים לפני שהאירוע הבא יקרה. ישראל מעצבת כעת את ההסדר שלה לנכסים דיגיטליים, ויש לה הזדמנות נדירה לעשות זאת מראש.

עו"ד ליאת מיידלר, שותפה ומובילת תחום רגולציית ניירות ערך ושוקי ההון; עו"ד אביטל חייטוביץ, שותפה ומובילת תחום הקריפטו והבלוקצ'יין; משרד גורניצקי GNY (צילום: גיא לוי ושני נחמיאס)