加密錢包創建者現在必須在漏洞被利用後的24小時內通知監管機構

商業製造商的連接硬體錢包或錢包軟體若符合歐盟的產品測試，現在必須在發現主動利用的漏洞或嚴重安全事件後的24小時內警告網路當局。

根據歐盟的網路韌性法案（Cyber Resilience Act，CRA），該要求自2026年9月11日起生效。歐洲委員會的報告指導方針指出，計時適用於具有數位元素的產品製造商。

CRA是一項橫向產品法。委員會的實施常見問題解答指出，它適用於在歐盟市場上提供的硬體和軟體。法律測試還要求產品的預期或合理可預見的使用必須包括與設備或網路的直接或間接數據連接。

商業供應的連接硬體錢包或可下載的錢包應用程式可以符合該測試。然而，歐盟的指導並未指定錢包品牌或聲明每個錢包服務或項目都受到涵蓋。涵蓋範圍取決於具體產品、供應方式及任何適用的排除條款。

製造商必須報告的內容

首次提交是一份早期警告，必須在製造商意識到漏洞或事件後不延遲地提交，並且不得晚於24小時。它必須指明，若適用，產品已知可用的成員國。對於嚴重事件，警告還必須說明是否懷疑有非法或惡意行為。

更完整的通知必須在72小時內提交，除非相關信息已經提供。對於主動利用的漏洞，該提交還需添加有關產品、利用和漏洞的一般信息，以及糾正或減輕措施。對於嚴重事件，則需添加事件的性質、初步評估和可用的減輕信息。

最終截止日期因事件而異。漏洞報告必須在糾正或減輕措施可用後不遲於14天內提交。CRA將嚴重事件的最終報告截止日期設定為在72小時通知後的一個月，如法規所述。

製造商通過歐盟網路安全機構ENISA啟動的單一報告平台進行一次性提交。該平台將通知發送給指定的協調計算機安全事件響應小組，並將信息提供給ENISA，然後支持分發給其他相關國家團隊。製造商還必須通知受影響的用戶，並在必要時通知所有用戶，包括他們可以採取的措施。

報告規則適用於在2027年12月11日之前投放市場的相關產品。這使得新的計時與現有產品線相關，而不僅僅是法律更廣泛生效後首次銷售的錢包。

開源許可不會創造全面豁免。委員會的開源指導表示，商業供應的免費和開源產品可能面臨製造商的義務。由其製造商提供的非貨幣化軟體不應計入商業活動，而個別貢獻者不會被視為其責任範圍外軟體的製造商。

開源軟體管理者是一個獨立的法律類別，他們的報告義務將於2027年12月11日開始。這也是CRA的主要產品安全要求生效的時間。9月11日的變更啟動了快速報告制度，而不是法律更廣泛的安全設計和產品生命週期框架。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。