Вступивший в силу 11 сентября закон Cyber Resilience Act обязал разработчиков аппаратных и программных криптокошельков из ЕС сообщать об уязвимостях в течение 24 часов после их обнаружения. Правила распространяются на компании, зарегистрированные в Евросоюзе.
Согласно регламенту, полноценное заявление об инциденте необходимо опубликовать через 72 часа после выявления проблемы. Финальный отчет требуется подать в течение 14 дней после выпуска исправлений, а отчеты по серьезным инцидентам — в течение месяца после уведомления.
Отчетность подается через платформу Single Reporting от ENISA, откуда данные передаются в CSIRT для оповещения профильных команд в других странах ЕС. Производители также обязаны информировать всех пользователей, чьи данные или средства могут быть под угрозой.
Новые требования введены на фоне серии атак. В июле из-за уязвимости в прошивке Coldcard было похищено не менее 1778,84 BTC на сумму около $112,7 млн, а общий ущерб оценивался в $153 млн. Также зафиксированы утечки данных у Trezor и SafePal.
Инциденты затронули десятки тысяч пользователей. Trezor сообщил об утечке данных почти 14 000 клиентов, а SafePal раскрыл кражу информации примерно 39 800 пользователей. Ранее уязвимости также устраняли разработчики BitBox и Ledger.
