Разработчики криптокошельков из Европы обязаны сообщать об уязвимостях в своем ПО в течение 24 часов после обнаружения. Такое требование содержится в обновленном законе Cyber Resilience Act.
Правила вступили в силу с 11 сентября. Под требования подпадают поставщики аппаратных и программных криптокошельков, если они зарегистрированы в ЕС.
Согласно документу, раннее уведомление об уязвимости или серьезном инциденте безопасности нужно отправить в течение суток с момента, когда производитель узнал о проблеме. Полноценное заявление необходимо опубликовать через 72 часа.
Финальный отчет о происшествии требуется подать не позднее 14 дней после внедрения исправлений. По серьезным инцидентам — в течение месяца после 72-часового уведомления.
Производители также обязаны информировать всех затронутых или потенциально уязвимых пользователей.
Отчетность подается через платформу Single Reporting, созданную ENISA. Уведомление уходит в CSIRT: организация должна без задержки передать его профильным командам в других странах ЕС, где доступен продукт.
Предпосылки
Обеспокоенность безопасностью сегмента обострилась после инцидента со взломом аппаратных кошельков Coldcard. В июле хакеры начали эксплуатировать ошибку в генерации сид-фраз, которая находилась в прошивке несколько лет.
К середине августа Galaxy Research подтвердила кражу как минимум 1778,84 BTC на $112,7 млн. С учетом неподтвержденных эпизодов ущерб оценивался примерно в $153 млн.
https://forklog.com/exclusive/285559-2
Параллельно Bitcoin Red Team запустила массовое ИИ-сканирование биткоин-проектов. Команда проверила сотни репозиториев и сообщила о тысячах потенциальных проблем.
Производители кошельков сталкиваются и с другими угрозами. 13 августа Trezor сообщил об утечке данных почти 14 000 клиентов через логистического партнера. 9 сентября злоумышленники отправили пользователям проекта поддельное предупреждение об уязвимости после взлома стороннего сервиса рассылок.
С аналогичной фишинговой атакой столкнулись клиенты BitBox.
16 августа SafePal раскрыл кражу информации примерно 39 800 клиентов. В сеть попали адреса доставки, телефоны и электронные почты, которые могут использоваться для фишинга и целевых атак.
Напомним, команда OneKey Anzen смогла воспроизвести в тестовых условиях атаку подмены транзакции в Ethereum-приложении кошелька Ledger версии 1.22.1. Разработчики уже закрыли уязвимость.
https://forklog.com/news/bitbox-ustranila-dve-sereznye-uyazvimosti-v-proshivke-bitkoin-koshelkov
