[Algunas cosas que debes saber sobre la ley] ¿Es seguro mi activo digital depositado en un intercambio tras el hackeo de un hardware wallet?

"Abogado, recientemente vi noticias sobre el robo de activos digitales de hardware wallets como Ledger. Estoy considerando almacenar mis activos digitales a través de un intercambio, pero ¿qué sucede si el intercambio es hackeado?

A principios de este mes, se reportó que se habían robado activos digitales de dispositivos de la empresa de hardware wallets Ledger, y se informó que el monto de las pérdidas supera los 86 millones de dólares.

Un aspecto a destacar de este incidente es la causa del hackeo. Se ha informado que los dispositivos involucrados fueron vendidos a través de un revendedor en el sudeste asiático y no a través de los canales oficiales de Ledger, y se cree que algunos dispositivos fueron manipulados para insertar chips maliciosos, lo que permitió el robo de frases semilla y otros datos.

Es decir, el dispositivo fue manipulado durante el proceso de distribución antes de llegar a manos del consumidor, aunque la empresa sostiene que no hay problemas con sus dispositivos y sistemas.

Personalmente, no tengo dudas sobre el diseño de los hardware wallets, pero creo que es necesario comprar un hardware wallet a través de canales oficiales de la empresa y evitar dispositivos de segunda mano o de origen dudoso.

Por otro lado, aunque no se puede afirmar que almacenar activos digitales a través de un intercambio sea necesariamente mejor que un hardware wallet, aprovechemos esta oportunidad para examinar cómo los intercambios almacenan los activos digitales de los usuarios y qué recursos legales tienen los usuarios en caso de que un intercambio sea hackeado.

Métodos de almacenamiento de activos digitales en intercambios

Con la entrada en vigor de la "Ley sobre la protección de los usuarios de activos virtuales" el 19 de julio de 2024, los intercambios deben almacenar los activos digitales de los usuarios de acuerdo con lo establecido por la ley. A continuación, revisaremos las obligaciones que los intercambios deben cumplir y que los usuarios deberían conocer.

① Primero, los intercambios deben almacenar los activos digitales de los usuarios por separado de los activos digitales que poseen, y deben mantener la misma cantidad y tipo de activos digitales que les han sido confiados por los usuarios (Artículo 7, Sección 2).

② Además, los intercambios deben almacenar más del 80% de los activos digitales de los usuarios en hardware wallets desconectadas de Internet, y la ley establece que la Comisión de Servicios Financieros debe determinar este porcentaje en un rango de más del 70% (Artículo 7, Sección 3, Reglamento de implementación, Artículo 11), y la regulación de la Comisión de Servicios Financieros establece que este porcentaje es del 80% (Artículo 9, Sección 1).

De hecho, la proporción de almacenamiento en hardware wallets de los grandes intercambios es superior a estos números. Upbit, a finales de octubre del año pasado, tenía más del 98% de sus activos en hardware wallets, y Bithumb también se informa que almacena más del 90% en hardware wallets. Además, Upbit ha declarado que reducirá la proporción de hot wallets a un 0%, lo que sugiere que la proporción de almacenamiento en hardware wallets de los intercambios podría aumentar en el futuro.

③ Además, los intercambios deben suscribirse a seguros o reservas para cumplir con las responsabilidades derivadas de incidentes como hackeos o fallos informáticos (Artículo 8), y la regulación establece que la suma de los límites de compensación del seguro y las reservas debe ser al menos el 5% del valor de los activos digitales de los usuarios almacenados en hot wallets, con un mínimo de 3 mil millones de wones (Artículo 10, Sección 2).

En la práctica, los grandes intercambios en Corea han acumulado reservas que oscilan entre cientos de millones y mil millones de wones, lo que en realidad no es una gran cantidad en comparación con el volumen de transacciones. Sin embargo, los grandes intercambios informan regularmente que poseen más del 100% de los activos digitales confiados por los usuarios.

④ Además, los intercambios deben depositar los fondos de los usuarios en instituciones de gestión como bancos, separándolos de los "activos propios del intercambio" (Artículo 6, Sección 1), y nadie puede compensar o embargar dichos depósitos (Sección 3 del mismo artículo). Además, en caso de quiebra del intercambio, la institución de gestión debe pagar primero los depósitos a los usuarios (Sección 4 del mismo artículo).

En caso de robo de activos digitales almacenados en el intercambio: obligación de restitución del intercambio

Entonces, si ocurre un robo en el cold wallet o hot wallet del intercambio, ¿cómo pueden los usuarios ser compensados?

A menudo se dice que el saldo de la cuenta del usuario es solo un número, pero el intercambio tiene la obligación de devolver esos activos digitales a solicitud del usuario, de acuerdo con los términos de servicio.

Por lo tanto, cuando ocurre un hackeo, la pérdida es naturalmente cubierta por los activos del intercambio. Esto fue lo que ocurrió en noviembre del año pasado, cuando el intercambio Upbit compensó completamente las pérdidas de los activos de los usuarios, que ascendieron a aproximadamente 38 mil millones de wones.

El problema surge cuando el intercambio no puede cubrir la diferencia. De hecho, como mencioné anteriormente, los grandes intercambios, de acuerdo con la ley, poseen realmente la misma cantidad de activos que los usuarios y tienen reservas acumuladas, por lo que es poco probable que los usuarios no recuperen sus activos digitales.

Sin embargo, teóricamente, los usuarios pueden reclamar la devolución de sus activos digitales al intercambio basándose en el contrato de uso, y también pueden considerar reclamar daños por incumplimiento de contrato o actos ilícitos.

Un ejemplo de esto es el hackeo del intercambio Coinrail en 2018. En ese momento, parte de los activos digitales de los usuarios almacenados en la billetera electrónica del intercambio fueron filtrados, y cuando el intercambio no pudo recuperar las pérdidas, los usuarios reclamaron compensación.

El tribunal determinó que el intercambio tenía la obligación de devolver a los usuarios activos digitales de la misma cantidad y tipo de acuerdo con el contrato de uso, y que al cerrar el intercambio y detener las operaciones, se negaron a cumplir con esa obligación de restitución, lo que resultó en la responsabilidad del intercambio por el hackeo (Sentencia del Tribunal Central de Seúl, 5 de noviembre de 2021, caso 2018Gahap567582; Sentencia del Tribunal Superior de Seúl, 9 de agosto de 2023, caso 2021Na2052335).

Recientemente, el tribunal ha considerado la relación entre el intercambio y los usuarios como un contrato atípico similar a un depósito según el derecho civil, y ha evaluado la obligación de restitución del intercambio como de naturaleza similar a la de una obligación de especie (referencias a los casos 2024Gahap22393 y 2025Gahap20759, sentencia del Tribunal del Norte de Seúl, 12 de febrero de 2026).

En última instancia, desde la perspectiva del usuario, se puede considerar que el intercambio tiene la obligación legal de devolver los activos digitales de los usuarios en la misma cantidad y tipo, ya sea en circunstancias normales o en caso de hackeo, siempre que el usuario lo solicite.

Si se produce una demanda como la mencionada, el punto en cuestión será la responsabilidad del intercambio en relación con el incidente de seguridad y el alcance de dicha responsabilidad.

Lo que quiero enfatizar es que tanto la tenencia directa a través de una billetera personal como la tenencia indirecta a través de un intercambio no son métodos perfectos. Más bien, a raíz de este incidente, es crucial que los usuarios de billeteras de autocustodia presten especial atención a la ruta de compra del dispositivo y la gestión de las frases semilla, y que consideren dividir sus activos en varias billeteras en proporciones adecuadas como una alternativa realista.

· Graduado de la Universidad Hanyang en Literatura Inglesa y Políticas (2018)
· Graduado de la Escuela de Derecho de la Universidad de Busan (2021)
· Aprobado en el 10° examen de abogado (2021)
· Abogado en la firma de abogados AK (2021-2024)
· Abogado en la firma de abogados DaeRyu (2024-2025)
· Abogado principal en el bufete de abogados Block

El abogado Jeong Seung-man es un experto en gestión de riesgos digitales y penales, y ha trabajado en el equipo de activos virtuales y en el grupo de cumplimiento penal de la firma de abogados DaeRyu después de pasar por la firma de abogados AK. El abogado Jeong ha proporcionado servicios legales especializados en toda la industria de blockchain, incluyendo asesoría regulatoria para proyectos de activos digitales, análisis de la naturaleza de los tokens y respuesta a incidentes penales relacionados. Actualmente, es el abogado principal del bufete de abogados Block, liderando la respuesta regulatoria y asesoría legal en el campo de los activos digitales. Puedes encontrar más escritos del abogado Jeong Seung-man en las redes sociales X.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.