9月11日起,面向欧盟市场销售的加密钱包厂商开始按照新的时间表运作。只要硬件设备或钱包应用出现正被黑客积极利用的漏洞,厂商就必须在24小时内通知监管机构——不是几周,也不是几个月,而是24小时。
这项要求来自欧盟《网络韧性法案》,一部覆盖各类数字产品安全的综合性法律,此前讨论更多集中在智能家居设备和工业软件领域。该法案现在明确将联网钱包——包括硬件设备和可下载的应用程序——纳入监管范围,只要它们在欧盟市场销售。上报流程分为三步:24小时内发出早期预警,说明漏洞正被利用;72小时内提交完整通报,详细说明产品、攻击方式和已采取的应对措施;最终报告则在补丁发布后14天,或严重事件确认后一个月内提交。所有通报都通过欧盟网络安全局ENISA的统一平台完成。
在此之前,钱包厂商基本可以自行决定是否、以及何时公开承认发生了安全事故。实际操作中,这常常意味着厂商悄悄修复漏洞长达数周,而用户仍在因外界一无所知的漏洞持续损失资金。新规定正是要缩短"发现漏洞"和"公开披露"之间的这段空窗期。
这项规定并非凭空出现。过去一年里,钱包用户多次遭遇潜伏数年才被发现的漏洞——从硬件固件缺陷到应用层安全问题,攻击者借此转移用户资金。对中小型钱包开发商来说,新规意味着必须建立事件监测流程,并具备在数小时而非数周内做出法律层面响应的能力。
目前公开报道尚未明确违规将面临何种处罚,《网络韧性法案》大部分产品安全要求也要到2027年12月才正式生效。但方向已经很清楚:在欧洲,对钱包安全事故保持沉默已经行不通了。
