В ЕС обязали сообщать об уязвимостях криптокошельков в течение суток

Разработчики криптокошельков из Европы обязаны сообщать об уязвимостях в своем ПО в течение 24 часов после обнаружения. Такое требование содержится в обновленном законе Cyber Resilience Act.  Правила вступили в силу с 11 сентября. Под требования подпадают поставщики аппаратных и программных криптокошельков, если они зарегистрированы в ЕС. Согласно документу, раннее уведомление об уязвимости или серьезном инциденте безопасности нужно отправить в течение суток с момента, когда производитель узнал о проблеме. Полноценное заявление необходимо опубликовать через 72 часа. Финальный отчет о происшествии требуется подать не позднее 14 дней после внедрения исправлений. По серьезным инцидентам — в течение месяца после 72-часового уведомления. Производители также обязаны информировать всех затронутых или потенциально уязвимых пользователей. Отчетность подается через платформу Single Reporting, созданную ENISA. Уведомление уходит в CSIRT: организация должна без задержки передать его профильным командам в других странах ЕС, где доступен продукт. Предпосылки  Обеспокоенность безопасностью сегмента обострилась после инцидента со взломом аппаратных кошельков Coldcard. В июле хакеры начали эксплуатировать ошибку в генерации сид-фраз, которая находилась в прошивке несколько лет.  К середине августа Galaxy Research подтвердила кражу как минимум 1778,84 BTC на $112,7 млн. С учетом неподтвержденных эпизодов ущерб оценивался примерно в $153 млн. https://forklog.com/exclusive/285559-2 Параллельно Bitcoin Red Team запустила массовое ИИ-сканирование биткоин-проектов. Команда проверила сотни репозиториев и сообщила о тысячах потенциальных проблем. Производители кошельков сталкиваются и с другими угрозами. 13 августа Trezor сообщил об утечке данных почти 14 000 клиентов через логистического партнера. 9 сентября злоумышленники отправили пользователям проекта поддельное предупреждение об уязвимости после взлома стороннего сервиса рассылок. С аналогичной фишинговой атакой столкнулись клиенты BitBox.  16 августа SafePal раскрыл кражу информации примерно 39 800 клиентов. В сеть попали адреса доставки, телефоны и электронные почты, которые могут использоваться для фишинга и целевых атак. Напомним, команда OneKey Anzen смогла воспроизвести в тестовых условиях атаку подмены транзакции в Ethereum-приложении кошелька Ledger версии 1.22.1. Разработчики уже закрыли уязвимость. https://forklog.com/news/bitbox-ustranila-dve-sereznye-uyazvimosti-v-proshivke-bitkoin-koshelkov