UE impõe obrigatoriedade de reportar vulnerabilidades de carteiras cripto em 24 horas

A União Europeia implementou novas regras rigorosas de cibersegurança que estabelecem prazos obrigatórios para comunicação de vulnerabilidades nos produtos de carteiras de criptomoedas. Segundo a Comissão Europeia, a Lei de Resiliência Cibernética entrou em vigor na passada sexta-feira e impõe exigências específicas aos fabricantes de carteiras de hardware e software.

Os fornecedores têm obrigação de submeter um alerta preliminar sobre vulnerabilidades graves no prazo de 24 horas após tomarem conhecimento do problema. Seguidamente, deve ser apresentada uma notificação completa no espaço de 72 horas. Após disponibilização de medidas corretivas ou de mitigação, é necessário enviar um relatório final 14 dias depois, ou no máximo um mês em caso de incidentes graves.

As penalidades por incumprimento das obrigações estabelecidas nos artigos 13 e 14 podem atingir multas administrativas de até 15 milhões de euros ou 2,5% do volume de negócios mundial anual, consoante o valor mais elevado. Empresas que fornecerem informações incorretas, incompletas ou enganosas podem ainda enfrentar multas até cinco milhões de euros.

Esta medida abrange todos os produtos com elementos digitais comercializados na União Europeia e surge na sequência de várias violações de segurança recentes no setor. Em setembro, a Trezor revelou que 67 mil clientes norte-americanos foram afetados por uma violação de dados do seu fornecedor de logística, ShipMonk, superando as estimativas iniciais de 14 mil utilizadores. A Trezor e a BitBox também alertaram para tentativas de phishing que se faziam passar por notificações urgentes de segurança, após suspeitas de comprometimento de serviços de correio eletrónico de terceiros.

Em junho, a rede blockchain Zilliqa havia identificado uma vulnerabilidade na sua aplicação para o dispositivo Ledger que poderia permitir aos atacantes recuperar chaves privadas de utilizadores recorrendo a dados disponíveis publicamente na cadeia de blocos.

A implementação desta regulação representa um passo importante da estratégia de cibersegurança mais ampla da União Europeia, procurando reforçar a proteção de consumidores e empresas contra ameaças digitais. Os fornecedores de carteiras como Trezor e Ledger enfrentarão agora pressão para garantir conformidade com estes prazos rigorosos.