Em 10 de fevereiro de 2026, a Agência de Serviços Financeiros (FSA) publicou um projeto de novos requisitos obrigatórios de cibersegurança para exchanges de criptomoedas. O regulador pretende exigir que todas as plataformas cripto domésticas realizem uma autoavaliação abrangente de cibersegurança (CSSA), em resposta ao aumento de ataques hackers sofisticados e roubos de ativos digitais. As novas regras poderão entrar em vigor no ano fiscal de 2026, enquanto a consulta pública sobre o projeto seguirá até 11 de março de 2026.

A FSA reconhece que modelos baseados exclusivamente em armazenamento a frio já não são suficientes para proteger os ativos. As ameaças tornaram-se mais complexas, e os ataques, mais sofisticados e indiretos — incluindo invasões por meio de prestadores de serviços e esquemas de engenharia social. O Japão está reforçando a supervisão das plataformas, exchanges e demais prestadores de serviços em criptoativos, migrando de verificações formais de conformidade para um foco mais amplo na proteção sistêmica. Após o colapso da Mt. Gox, em 2014, o país foi o primeiro a introduzir o licenciamento obrigatório de exchanges sob a Lei de Serviços de Pagamento. A iniciativa atual representa a próxima etapa desse processo regulatório.

O novo arcabouço prevê monitoramento contínuo de riscos e vulnerabilidades. As exchanges deverão avaliar a segurança de carteiras quentes e frias, os sistemas de armazenamento de chaves e a arquitetura de rede; o treinamento de funcionários e as medidas de proteção contra phishing e engenharia social; os padrões de segurança aplicáveis a contratados e prestadores externos; os planos de resposta a incidentes e os procedimentos de recuperação; além da proteção de dados dos usuários em conformidade com a Lei de Proteção de Informações Pessoais (APPI). A FSA também planeja realizar testes de penetração em tempo real nos sistemas das operadoras e poderá envolver hackers éticos nesse processo.

Essa abordagem acompanha uma tendência global: a União Europeia já adotou o regulamento MiCA, enquanto Singapura vem endurecendo os requisitos de resiliência operacional para empresas cripto.