欧盟要求加密货币钱包公司在24小时内报告重大安全漏洞

欧盟出台加密货币钱包网络安全新规：重大漏洞须24小时内报告

欧盟针对加密货币硬件和软件钱包提供商引入了严格的网络安全报告规则，要求其在发现被主动利用的漏洞或关键安全错误后的24小时内进行披露。这一新义务是《网络弹性法案》（Cyber Resilience Act, CRA）的一部分，该法案已于周五正式生效。

《网络弹性法案》聚焦数字产品安全

根据欧盟委员会的公告，《网络弹性法案》旨在加强所有在欧盟境内销售的带有数字元素产品的网络安全，特别关注处理敏感资产（如加密货币钱包）的设备与软件。新规要求制造商和服务提供者在得知严重漏洞事件后24小时内发出早期预警，随后在72小时内提交详细通知，并在修复漏洞后14天内（最严重情况为一个月内）提交最终报告。

欧盟委员会表示，这些快速报告要求旨在增强数字经济中消费者和企业的保护力度。《网络弹性法案》的范围不仅限于加密货币钱包，还涵盖在欧盟成员国市场销售的任何数字产品。

违规将面临巨额罚款

未能履行《网络弹性法案》第13条和第14条规定报告义务的公司可能面临严重的财务后果。最终草案文本规定，违规者将被处以高达1500万欧元（约1730万美元）或全球年营业额2.5%的罚款，以较高者为准。若公司提供与安全事件相关的不实、不完整或误导性信息，还可能面临高达500万欧元的额外行政罚款。

违规行为 最高处罚

未报告严重漏洞

1500万欧元或年营业额的2.5%

提供误导/不完整信息

500万欧元

行业背景：近期安全事件回顾

《网络弹性法案》的实施紧随加密货币硬件钱包领域几起高调安全事件之后。此前几周，知名提供商曾披露影响用户信息的重大数据泄露事件，引发了人们对钓鱼和社会工程攻击威胁的担忧。

Trezor数据泄露事件：9月4日，硬件钱包制造商Trezor报告称，其物流合作伙伴ShipMonk发生数据泄露，导致6.7万名美国客户面临风险，这一数字远高于最初估计的1.4万名用户。 钓鱼攻击警告：Trezor和BitBox近期均警告用户注意冒充紧急安全通知的钓鱼攻击，这可能源于电子邮件服务提供商的数据泄露。这些事件凸显了加密货币钱包用户面临的增长风险。 Zilliqa漏洞事件：今年6月初，Layer-1区块链平台Zilliqa公开警告其Ledger应用程序存在一个关键漏洞，攻击者可能利用链上存储的数据恢复用户的私钥。

合规展望与监管趋势

新的欧盟法规适用于在欧盟境内运营或营销其产品的任何钱包提供商。包括Trezor和Ledger在内的行业参与者正被要求说明其如何计划符合更新的合规标准。制造商必须在24小时内发布严重漏洞的早期预警，72小时内进行全面通知，并在采取纠正措施后立即提交最终报告。

欧盟委员会最近的网络安全措施是其更广泛战略的一部分，旨在应对日益增加的数字威胁，随着越来越多的金融交易和资产迁移至基于区块链的平台，这一趋势愈发明显。