Les développeurs de portefeuilles cryptographiques en Europe doivent signaler les vulnérabilités de leurs logiciels dans les 24 heures suivant leur découverte. Cette exigence est stipulée dans la loi mise à jour Cyber Resilience Act.
Les règles sont entrées en vigueur le 11 septembre. Les fournisseurs de portefeuilles cryptographiques matériels et logiciels y sont soumis s'ils sont enregistrés dans l'UE.
Selon le document, une notification précoce concernant une vulnérabilité ou un incident de sécurité grave doit être envoyée dans les 24 heures suivant la prise de connaissance du problème par le fabricant. Une déclaration complète doit être publiée dans les 72 heures.
Un rapport final sur l'incident doit être soumis au plus tard 14 jours après la mise en œuvre des correctifs. Pour les incidents graves, dans le mois suivant la notification des 72 heures.
Les fabricants sont également tenus d'informer tous les utilisateurs touchés ou potentiellement vulnérables.
Les rapports sont soumis via la plateforme Single Reporting, créée par l'ENISA. La notification est envoyée au CSIRT : l'organisation doit la transmettre sans délai aux équipes spécialisées des autres pays de l'UE où le produit est disponible.
Contexte
Les inquiétudes concernant la sécurité de ce segment se sont accentuées après l'incident de piratage des portefeuilles matériels Coldcard. En juillet, des pirates ont commencé à exploiter une faille dans la génération de phrases de récupération, présente dans le micrologiciel depuis plusieurs années.
Mi-août, Galaxy Research a confirmé le vol d'au moins 1778,84 BTC, d'une valeur de 112,7 millions de dollars. En incluant les épisodes non confirmés, les dommages étaient estimés à environ 153 millions de dollars.
Sleep at Night Technology : comment Coldcard a transformé le sommeil de ses utilisateurs en cauchemar
Parallèlement, Bitcoin Red Team a lancé un vaste balayage par IA des projets Bitcoin. L'équipe a examiné des centaines de dépôts et signalé des milliers de problèmes potentiels.
Les fabricants de portefeuilles font également face à d'autres menaces. Le 13 août, Trezor a signalé une fuite de données de près de 14 000 clients via un partenaire logistique. Le 9 septembre, des malfaiteurs ont envoyé aux utilisateurs du projet un faux avertissement de vulnérabilité après le piratage d'un service d'envoi tiers.
Les clients de BitBox ont été confrontés à une attaque de phishing similaire.
Le 16 août, SafePal a révélé le vol d'informations concernant environ 39 800 clients. Les adresses de livraison, numéros de téléphone et adresses e-mail ont fuité et peuvent être utilisés pour du phishing et des attaques ciblées.
Rappelons que l'équipe OneKey Anzen a pu reproduire en conditions de test une attaque de substitution de transaction dans l'application Ethereum du portefeuille Ledger version 1.22.1. Les développeurs ont déjà corrigé la vulnérabilité.
BitBox a éliminé deux vulnérabilités graves dans le micrologiciel des portefeuilles Bitcoin
