[Algunas cosas que debes saber sobre la ley] ¿Es seguro mi activo digital depositado en un intercambio tras el hackeo de un hardware wallet?

"Abogado, he visto noticias recientes sobre el robo de activos digitales de hardware wallets como Ledger. Estoy considerando guardar mis activos digitales a través de un intercambio, pero ¿qué pasa si el intercambio es hackeado?

A principios de este mes, se reportaron robos de activos digitales de dispositivos de la empresa de hardware wallets Ledger, y se informó que el monto de las pérdidas supera los 86 millones de dólares.

Un aspecto notable de este incidente es la causa del hackeo. Se ha informado que los dispositivos involucrados fueron vendidos a través de un revendedor en el sudeste asiático y no a través de los canales oficiales de Ledger, y algunos de estos dispositivos fueron manipulados para incluir chips maliciosos, lo que permitió el robo de frases semilla y otros datos.

Es decir, los dispositivos de cold wallet fueron manipulados durante el proceso de distribución antes de llegar a las manos de los consumidores, aunque el fabricante sostiene que no hay problemas con sus dispositivos y sistemas.

Personalmente, no tengo dudas sobre el diseño de los hardware wallets, pero esta situación subraya la necesidad de comprar cold wallets a través de canales oficiales del fabricante y evitar dispositivos de segunda mano o de origen dudoso.

Por otro lado, aunque este incidente no significa que almacenar activos digitales a través de un intercambio sea necesariamente una mejor alternativa que un cold wallet, es una buena oportunidad para examinar cómo los intercambios almacenan los activos digitales de los usuarios y qué recursos legales tienen los usuarios si el intercambio es hackeado.

Métodos de almacenamiento de activos digitales en intercambios

Con la entrada en vigor de la ley sobre la protección de los usuarios de activos virtuales el 19 de julio de 2024, los intercambios deben almacenar los activos digitales de los usuarios de acuerdo con lo estipulado por la ley. A continuación, examinaremos las obligaciones de los intercambios que los usuarios deberían conocer de antemano.

① En primer lugar, los intercambios deben almacenar los activos digitales de los usuarios por separado de los activos digitales que poseen y deben mantener la misma cantidad y tipo de activos digitales que han recibido en custodia de los usuarios (Artículo 7, Sección 2).

② Además, los intercambios deben almacenar más del 80% de los activos digitales de los usuarios en cold wallets desconectadas de Internet, y el decreto de la ley establece que la Comisión de Servicios Financieros debe determinar este porcentaje en un rango de más del 70% (Artículo 7, Sección 3, Decreto 11), y la regulación de la Comisión de Servicios Financieros establece este porcentaje en el 80% (Artículo 9, Sección 1).

De hecho, la proporción de almacenamiento en cold wallets de los grandes intercambios es superior a estos números. Upbit, a finales de octubre del año pasado, tenía más del 98% de sus activos en cold wallets, y Bithumb también se informa que almacena más del 90% en cold wallets. Además, Upbit ha declarado que planea reducir la proporción de hot wallets a 0%, por lo que es probable que la proporción de almacenamiento en cold wallets de los intercambios aumente en el futuro.

③ Además, los intercambios deben suscribirse a seguros o fondos de compensación para cumplir con su responsabilidad en caso de hackeos o fallos informáticos (Artículo 8), y la regulación establece que la suma de los límites de compensación del seguro y los fondos de reserva debe ser al menos el 5% del valor de los activos digitales de los usuarios almacenados en hot wallets, con un mínimo de 3 mil millones de wones (Artículo 10, Sección 2).

De hecho, los grandes intercambios en Corea han acumulado reservas de cientos de millones a mil millones de wones, aunque en comparación con el volumen de transacciones, esta cantidad no es muy alta. Sin embargo, los grandes intercambios informan regularmente que poseen más del 100% de los activos digitales que los usuarios han depositado.

④ Además, los intercambios deben depositar los fondos de los usuarios en instituciones de gestión como bancos, separándolos de los "activos propios del intercambio" (Artículo 6, Sección 1), y nadie puede compensar o embargar esos fondos (Sección 3 del mismo artículo). Además, en caso de quiebra del intercambio, la institución de gestión debe pagar primero a los usuarios sus fondos depositados (Sección 4 del mismo artículo).

En caso de robo de activos digitales almacenados en el intercambio: obligación de restitución del intercambio

Entonces, si ocurre un robo en el cold wallet o hot wallet del intercambio, ¿cómo pueden los usuarios ser compensados?

A menudo se dice que el saldo de la cuenta del usuario es solo una representación numérica, pero el intercambio tiene la obligación de devolver esos activos digitales a solicitud del usuario, de acuerdo con los términos de uso.

Por lo tanto, cuando ocurre un incidente de hackeo, el intercambio naturalmente cubre las pérdidas con sus propios activos. Esto es similar a lo que ocurrió en noviembre del año pasado, cuando el intercambio Upbit compensó completamente las pérdidas de activos de los usuarios, que ascendieron a aproximadamente 38 mil millones de wones, con sus propios activos.

El problema surge cuando el intercambio no puede cubrir la diferencia. De hecho, como mencioné anteriormente, los grandes intercambios poseen realmente la cantidad de activos de los usuarios según la ley y también tienen reservas acumuladas, por lo que es poco probable que los usuarios no recuperen sus activos digitales.

Sin embargo, teóricamente, los usuarios pueden reclamar la devolución de sus activos digitales al intercambio basándose en el contrato de uso y también pueden considerar reclamar daños por incumplimiento de contrato o actos ilícitos.

Un ejemplo de esto es el hackeo del intercambio Coinrail en 2018. En ese momento, parte de los activos digitales de los usuarios almacenados en la billetera electrónica del intercambio fueron filtrados, y cuando el intercambio no pudo recuperar las pérdidas, los usuarios reclamaron daños.

El tribunal determinó que el intercambio tenía la obligación de devolver a los usuarios activos digitales de la misma cantidad y tipo de acuerdo con el contrato de uso, y al cerrar el intercambio y negarse a devolver, se consideró que la obligación de restitución no podía cumplirse, y no se podía negar la responsabilidad del intercambio por el incidente de hackeo, reconociendo así la responsabilidad de indemnización (Sentencia del Tribunal Central de Seúl, 5 de noviembre de 2021, caso 2018Gahap567582, Sentencia del Tribunal Superior de Seúl, 9 de agosto de 2023, caso 2021Nah2052335).

Recientemente, los tribunales han considerado la relación entre el intercambio y los usuarios como un contrato atípico similar a un depósito según el derecho civil, y han determinado que la obligación de restitución del intercambio tiene una naturaleza similar a la de una obligación de especie (Sentencias del Tribunal del Norte de Seúl, 12 de febrero de 2026, casos 2024Gahap22393, 2025Gahap20759).

En última instancia, desde la perspectiva del usuario, se puede considerar que el intercambio tiene la obligación legal de devolver los activos digitales de los usuarios en la misma cantidad y tipo, ya sea en circunstancias normales o en caso de hackeo.

Si se produce una demanda como la mencionada, el tema en cuestión será la responsabilidad del intercambio en relación con el incidente de seguridad.

Lo que quiero enfatizar es que tanto la tenencia directa a través de una billetera personal como la tenencia indirecta a través de un intercambio no son métodos perfectos. Más bien, a raíz de este incidente, es crucial que los usuarios de wallets de autogestión presten especial atención a la ruta de compra del dispositivo y a la gestión de las frases semilla para evitar filtraciones de información, y que consideren almacenar sus activos en varias wallets en proporciones adecuadas como una alternativa realista.

· Graduado de la Universidad Hanyang en Literatura Inglesa y Política (2018)
· Graduado de la Escuela de Derecho de la Universidad de Busan (2021)
· Aprobado en el 10º examen de abogado (2021)
· Abogado en la firma de abogados AK (2021-2024)
· Abogado en la firma de abogados Daeil Asia (2024-2025)
· Abogado principal en el bufete de abogados Block

El abogado Jeong Seung-man es un experto en gestión de riesgos digitales y penales, y ha trabajado en el equipo de activos virtuales y en el grupo de cumplimiento penal de la firma de abogados Daeil Asia después de pasar por la firma de abogados AK. El abogado Jeong ha proporcionado servicios legales especializados en toda la industria de blockchain, incluyendo asesoría regulatoria para proyectos de activos digitales, análisis de la naturaleza de los tokens y respuesta a incidentes penales relacionados. Actualmente, es el abogado principal del bufete de abogados Block, liderando la respuesta regulatoria y la asesoría legal en el campo de los activos digitales. Puedes encontrar más escritos del abogado Jeong Seung-man en las redes sociales X.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.