欧盟《网络弹性法案》生效：加密钱包漏洞上报时限收紧

欧盟《网络弹性法案》（CRA）已于 9 月 11 日正式生效。根据新规，加密硬件与软件钱包提供商在发现被积极利用的漏洞或严重安全漏洞后，需在 24 小时内提交早期预警报告，并在 72 小时内提交完整通知。

制造商还需在采取纠正或缓解措施后 14 天内提交最终报告；若属于严重事件，则需在一个月内完成上报。

适用范围与监管目的

欧盟委员会表示，这项新的报告要求旨在更好地保护消费者和企业免受网络威胁，适用于所有在欧盟市场上架销售的「含数字元素产品」，并建立在欧盟更广泛的网络安全战略之上。

违规处罚条款

根据最终草案的处罚条款，未遵守第 13 条和第 14 条规定的公司，可能面临最高 1500 万欧元（约 1730 万美元）或全球年营业额 2.5% 的行政罚款，以较高者为准。

若提供不正确、不完整或误导性信息，也将面临最高 500 万欧元的罚款。

法案生效前的相关安全事件

该措施出台前，多家硬件钱包厂商近期已披露用户数据泄露事件。9 月 4 日，Trezor 披露其物流供应商 ShipMonk 遭遇数据泄露，影响约 6.7 万名美国客户，高于最初估计的 1.4 万人。

本周，Trezor 与 BitBox 还警告用户警惕伪装成紧急安全通知的钓鱼邮件。

6 月，Layer-1 区块链网络 Zilliqa 曾警告，其 Ledger 应用存在漏洞，攻击者可能利用公开链上数据恢复用户私钥。