В ЕС обязали сообщать об уязвимостях криптокошельков в течение суток

Разработчики криптокошельков из Европы обязаны сообщать об уязвимостях в своем ПО в течение 24 часов после обнаружения. Такое требование содержится в обновленном законе Cyber Resilience Act. 

Правила вступили в силу с 11 сентября. Под требования подпадают поставщики аппаратных и программных криптокошельков, если они зарегистрированы в ЕС.

Согласно документу, раннее уведомление об уязвимости или серьезном инциденте безопасности нужно отправить в течение суток с момента, когда производитель узнал о проблеме. Полноценное заявление необходимо опубликовать через 72 часа.

Финальный отчет о происшествии требуется подать не позднее 14 дней после внедрения исправлений. По серьезным инцидентам — в течение месяца после 72-часового уведомления.

Производители также обязаны информировать всех затронутых или потенциально уязвимых пользователей.

Отчетность подается через платформу Single Reporting, созданную ENISA. Уведомление уходит в CSIRT: организация должна без задержки передать его профильным командам в других странах ЕС, где доступен продукт.

Предпосылки 

Обеспокоенность безопасностью сегмента обострилась после инцидента со взломом аппаратных кошельков Coldcard. В июле хакеры начали эксплуатировать ошибку в генерации сид-фраз, которая находилась в прошивке несколько лет. 

К середине августа Galaxy Research подтвердила кражу как минимум 1778,84 BTC на $112,7 млн. С учетом неподтвержденных эпизодов ущерб оценивался примерно в $153 млн.

Параллельно Bitcoin Red Team запустила массовое ИИ-сканирование биткоин-проектов. Команда проверила сотни репозиториев и сообщила о тысячах потенциальных проблем.

Производители кошельков сталкиваются и с другими угрозами. 13 августа Trezor сообщил об утечке данных почти 14 000 клиентов через логистического партнера. 9 сентября злоумышленники отправили пользователям проекта поддельное предупреждение об уязвимости после взлома стороннего сервиса рассылок.

С аналогичной фишинговой атакой столкнулись клиенты BitBox. 

16 августа SafePal раскрыл кражу информации примерно 39 800 клиентов. В сеть попали адреса доставки, телефоны и электронные почты, которые могут использоваться для фишинга и целевых атак.

Напомним, команда OneKey Anzen смогла воспроизвести в тестовых условиях атаку подмены транзакции в Ethereum-приложении кошелька Ledger версии 1.22.1. Разработчики уже закрыли уязвимость.