ЕС требует от разработчиков криптокошельков сообщать о уязвимостях за 24 часа

С 11 сентября в Европе вступили в силу новые правила, обязывающие разработчиков криптокошельков оперативно информировать о найденных уязвимостях. Согласно обновленному закону Cyber Resilience Act, уведомление должно быть отправлено в течение 24 часов после обнаружения проблемы.

Эти требования касаются всех поставщиков аппаратных и программных криптокошельков, зарегистрированных в ЕС. Первичное уведомление должно быть отправлено в течение суток с момента выявления инцидента, а подробное заявление — через 72 часа. Финальный отчет необходимо подать не позднее двух недель после исправления, а по серьезным инцидентам — в течение месяца после первичного уведомления.

Производители обязаны уведомлять всех пользователей, которые могут быть затронуты. Отчеты подаются через платформу Single Reporting, разработанную ENISA, и направляются в CSIRT, которая затем передает их профильным командам в странах ЕС.

Обострение внимания к безопасности вызвано недавним взломом аппаратных кошельков Coldcard, когда в июле хакеры использовали уязвимость в генерации сид-фраз. К августу Galaxy Research подтвердила кражу 1778,84 BTC на сумму $112,7 млн, а общий ущерб, включая неподтвержденные случаи, оценивался в $153 млн.

Bitcoin Red Team активно занимается поиском уязвимостей, проводя массовое ИИ-сканирование биткоин-проектов. В то же время Trezor сообщил о утечке данных 14 000 клиентов, а SafePal — о краже информации 39 800 пользователей, включая их контактные данные, что может быть использовано для фишинга.

Компания OneKey Anzen в тестах воспроизвела атаку на Ethereum-приложение кошелька Ledger, уязвимость была уже устранена. BitBox также обеспечил безопасность, устранив две серьезные уязвимости в своей прошивке.