欧盟网络安全规则要求加密钱包制造商 24 小时报告

欧盟已采取行动，要求硬件和软件钱包提供商在很短的时间内报告积极利用的错误和严重漏洞，从而加强对加密钱包技术的网络安全监督。欧盟委员会表示，该要求根据周五生效的欧盟《网络弹性法案》(CRA) 生效。

根据该框架，受影响的提供商必须在意识到某些安全问题后 24 小时内发出预警，然后在规定的期限内提交更广泛的通知。这些规则适用于在欧盟提供的数字产品，旨在减少消费者和企业遭受现实世界攻击的时间窗口。

钱包提供商必须在 24 小时内报告被主动利用的严重漏洞，并在稍后进行更全面的更新。

采取纠正或缓解措施后，预计将在 14 天内提交最终报告；严重事件可能需要在一个月内更新。

欧盟 CRA 可能会实施最高 1500 万欧元（约合 1730 万美元）或全球年营业额 2.5% 的行政处罚，以较高者为准。

向监管机构提供不正确或误导性信息可能会引发高达 500 万欧元的额外罚款。

该公告是在最近与钱包相关的事件和漏洞披露之际发布的，这些事件和漏洞凸显了威胁传播的速度。

发现严重漏洞后 CRA 需要做什么

根据欧盟委员会的公告，CRA 的报告义务是针对快速移动的威胁，尤其是攻击者已经在使用的威胁。该措施要求范围内产品的制造商在意识到“被积极利用”的安全漏洞或影响其产品的“严重安全漏洞”时通知当局。

委员会描述的时间表包括三个主要检查点：24 小时内发出预警，72 小时内发出完整通知，以及在采取缓解措施或纠正措施后提交最终报告。最终报告窗口设定为采取纠正或缓解措施后的 14 天。对于严重事件，委员会还要求在一个月内报告。

虽然 CRA 的范围比单纯的加密货币更广泛，但它对市场的实际影响是巨大的，因为许多钱包产品涉及紧密耦合的组件——安全元件、钱包软件、更新系统以及与用户界面的集成。在此类系统中，漏洞可以快速转化为网络钓鱼活动、社会工程或签名工作流程的妥协。

违规行为的处罚力度如何

委员会的倡议得到了执法措施的支持。 《欧洲网络弹性法案》文章档案中引用的 CRA 草案的处罚部分指出，未能遵守第 13 条和第 14 条要求的公司可能面临最高 1500 万欧元（约 1730 万美元）或全球年营业额 2.5% 的行政罚款，具体取决于哪一个较高者。

报告质量差还存在另一个风险。该草案的处罚部分规定，对提交“不正确、不完整或误导性信息”的公司处以最高 500 万欧元的行政罚款。在实践中，这不仅会激励人们按时提交报告，而且会确保与监管机构共享的信息足够准确，以支持有效的下游风险管理。

为什么时机对加密钱包用户很重要

欧盟采取行动的几周前，钱包安全问题引起了广泛关注，这些问题表明攻击者可以多快地利用信任和紧迫性。 Cointelegraph 早些时候的报道描述了两家流行的硬件钱包提供商如何披露可能导致网络钓鱼或社会工程尝试的数据相关事件。

9 月 4 日，硬件钱包提供商 Trezor 披露，另外 67,000 名美国客户因其运输提供商 ShipMonk 遭受的数据泄露而面临风险，超过了最初估计的 14,000 名用户。不久之后，Cointelegraph 报道称，Trezor 和 BitBox 警告用户有关伪装成紧急安全通知的网络钓鱼电子邮件，这些电子邮件与涉及第三方电子邮件服务的可疑妥协有关。

Cointelegraph 还注意到，早期与漏洞相关的警告不仅影响钱包供应商，还影响加密货币用户。 6 月，Zilliqa 警告称，Zilliqa Ledger 应用程序中的漏洞可能允许攻击者使用公开的链上数据恢复用户的私钥。虽然与 CRA 报告规则中描述的事件类别不直接相同，但它说明了与钱包功能相关的软件组件如何引入监管机构和用户越来越希望及时沟通的风险。

CRA 的短报告窗口旨在缩小发现与公众或监管意识之间的差距。对于钱包用户来说，这可能意味着更快的更新、更清晰的下一步行动指导，以及攻击者应对违规造成的不确定性的时间更少。

钱包制造商面临新的合规负担

欧盟委员会表示，报告要求适用于“在欧盟提供数字元素”的所有产品，将 CRA 定位为欧盟更广泛网络安全战略的延伸。在加密货币领域，合规性可能会要求钱包提供商和相关制造商建立更严格的内部流程，以识别漏洞的严重性，确定漏洞是否正在被利用，并快速协调通知。

Cointelegraph 联系了钱包制造商 Trezor 和 Ledger，请其就钱包提供商如何遵守新的报告要求发表评论。每家公司如何操作报告时间线——特别是 24 小时“报告意识”窗口——可能成为依赖钱包安全保证的用户、开发者和合作伙伴的重要区别因素。

市场的一个不确定性是制造商能够以多快的速度可靠地将问题归类为“积极利用”的问题与理论或未经证实的风险，以及哪些证据将被认为足以触发最快的报告轨道。随着 CRA 实施的发展，提供商还需要密切关注监管机构如何解释整个供应链的产品范围和责任，特别是当事件源自第三方服务时。

接下来看什么

随着 CRA 报告截止日期的到来，钱包用户和行业合作伙伴应关注更快的漏洞披露、更结构化的事件沟通以及对“严重”问题和“主动利用”的更明确预期。真正的考验将是，当漏洞出现时，提供商是否能够维持新的时间表，以及监管机构是否对报告差距或不准确的更新严格实施处罚。