UE zaostrza zasady dla producentów portfeli kryptowalutowych

W Unii Europejskiej dostawcy sprzętowych i programowych portfeli kryptowalutowych muszą teraz zgłaszać wykryte luki w ciągu 24 godzin od ich odkrycia. Wymóg ten został zapisany w Ustawie UE o odporności na cyberzagrożenia, znanej jako CRA; nowe przepisy zaczęły obowiązywać 11 września.

Jak będzie wyglądać raportowanie luk

Firmy są zobowiązane do wysyłania wstępnego powiadomienia za pośrednictwem Jednolitej platformy raportowania SRP, której działalność nadzoruje Agencja UE ds. Cyberbezpieczeństwa ENISA. Po złożeniu zgłoszenia dane są kierowane do grupy koordynującej reagowanie na incydenty komputerowe w danym kraju UE, do którego odnosi się konkretna sprawa.

Na tym raportowanie się nie kończy. Pełny raport o luce należy przesłać w ciągu 72 godzin od jej wykrycia. Ostateczny dokument firma musi przygotować i wysłać w ciągu 14 dni po wydaniu poprawki lub podjęciu innych działań w celu zmniejszenia ryzyka. Dla poważnych incydentów ustalono osobny termin: ostateczny raport musi być dostarczony nie później niż miesiąc po incydencie.

Kogo dotyczą nowe zasady

Komisja Europejska liczy, że zaktualizowane wymagania wzmocnią ochronę użytkowników przed zagrożeniami cybernetycznymi. Normy dotyczą nie tylko portfeli kryptowalutowych: w zakres CRA wchodzą produkty cyfrowe, które są sprzedawane lub dystrybuowane na terytorium UE.

Dla branży kryptowalutowej jest to szczególnie wrażliwy temat. Portfel kryptowalutowy może mieć różne formaty. Umożliwia on użytkownikowi dostęp do aktywów i usług.

• Urządzenie sprzętowe.
• Aplikacja mobilna.
• Program komputerowy.
• Dostęp do aktywów, w tym Bitcoin i Ethereum.
• Praca z NFT.
• Korzystanie z aplikacji DeFi i Web3.

Podstawą takich rozwiązań jest blockchain, system kryptograficzny z otwartym kluczem, a także oprogramowanie, w którym ważne są uwierzytelnianie, token autoryzacji i poprawne przetwarzanie transakcji jako operacji informatycznej.

Wokół portfeli zbudowana jest szeroka infrastruktura rynku kryptowalut: obok nich działają duże platformy i usługi, w tym Binance i Coinbase. Jednak nowe obowiązki CRA są skierowane przede wszystkim do producentów produktów cyfrowych i dostawców rozwiązań, od bezpieczeństwa których zależy dostęp użytkowników do kryptowalut.

Portfel kryptowalutowy w prostych słowach: funkcje i rodzaje

Portfel kryptowalutowy w prostych słowach to narzędzie, za pomocą którego użytkownik uzyskuje dostęp do swoich aktywów cyfrowych i potwierdza transakcje z nimi. Jest potrzebny nie tylko do przechowywania dostępu do kryptowalut, ale także do przelewów, pracy z NFT, usługami DeFi i aplikacjami Web3.

• Portfel gorący jest podłączony do internetu i jest wygodny do częstych operacji.
• Portfel zimny przechowuje dostęp do aktywów bez stałego połączenia z internetem.
• Portfel sprzętowy to oddzielne urządzenie.
• Portfel programowy działa jako aplikacja na smartfonie lub program na komputerze.

Wsparcie dla kryptowalut zależy od konkretnego portfela. Niektóre rozwiązania są przeznaczone dla Bitcoin, inne wspierają Ethereum, NFT oraz różne tokeny dla DeFi i Web3.

Jak wybrać portfel kryptowalutowy i nie popełnić błędu

Nie ma uniwersalnej opcji na każdą okazję: dla jednego zadania ważniejsza jest prostota, dla innego - kontrola dostępu i ochrona przed atakami. Przed dokonaniem wyboru warto sprawdzić kilka rzeczy.

• Jakie kryptowaluty i tokeny wspiera portfel.
• Czy format odpowiada zadaniu: aplikacja mobilna, program komputerowy czy urządzenie sprzętowe.
• Jak przejrzyste są procesy wysyłania, odbierania i potwierdzania transakcji.
• Jak portfel radzi sobie z aktualizacjami bezpieczeństwa.
• Czy istnieje wygodny dostęp do NFT, DeFi i aplikacji Web3.

Jeśli potrzebny jest najprostszy scenariusz, zazwyczaj wygodniej jest zacząć od aplikacji mobilnej: szybciej się instaluje i nadaje się do małych operacji. Do długoterminowego przechowywania dużej sumy częściej rozważa się portfel zimny lub sprzętowy.

Rankingi i top-10 pomagają szybko zebrać krótka listę, ale lepiej wybierać portfel nie według miejsca w zestawieniu, ale według zadań: przechowywanie, częste przelewy, NFT, DeFi lub Web3. Na rynku obok portfeli zauważalni są różni gracze: Ledger związany jest z rozwiązaniami sprzętowymi, a Binance i Coinbase działają jako duże platformy i usługi wokół rynku kryptowalut.

Jak stworzyć, zasilić i zabezpieczyć portfel

Tworzenie portfela zazwyczaj zaczyna się od wyboru formatu. Użytkownik instaluje aplikację, program lub podłącza urządzenie sprzętowe, tworzy nowy portfel, zapisuje frazę seed lub inny sposób przywracania dostępu, ustawia hasło i sprawdza ustawienia bezpieczeństwa.

• Aby zasilić, można uzyskać adres portfela i przelać na niego kryptowalutę z innej platformy lub innego portfela.
• Aby wypłacić, można wysłać aktywa na inny portfel lub na platformę, gdzie dostępna jest wymiana.
• Ograniczenia mogą zależeć od wybranego serwisu, sieci, prowizji i zasad konkretnej jurysdykcji.

Użytkownicy z Rosji powinni wcześniej sprawdzić, czy wybrana aplikacja, strona producenta, sposoby zasilania i wypłaty są dostępne w konkretnej sytuacji.

Giełda kryptowalut to platforma do kupowania, sprzedawania i wymiany kryptowalut. Portfel jest potrzebny przede wszystkim do dostępu do aktywów i zarządzania transakcjami, a giełda - do handlu i wymiany. Jeśli aktywa pozostają na platformie, użytkownik zależy od jej zasad i procedur bezpieczeństwa.

Główne ryzyka dla portfeli związane są z lukami, phishingiem, fałszywymi aktualizacjami i błędami przy wysyłaniu transakcji. Aby się chronić, warto pobierać aplikacje tylko z oficjalnych źródeł, przechowywać frazę seed offline, sprawdzać adres odbiorcy i nie klikać w linki z wiadomości o pilnych aktualizacjach.

Jakie kary grożą firmom

Ustawa o odporności cybernetycznej przewiduje wysokie sankcje. Za naruszenie wymagań bezpieczeństwa, określonych w artykułach 13 i 14, firmom może grozić kara do 15 mln euro, czyli 17,3 mln dolarów, lub 2,5% światowego rocznego obrotu.

Artykuł 13 opisuje obowiązki producentów w zakresie utrzymania cyberbezpieczeństwa produktów cyfrowych przez cały ich cykl życia. Artykuł 14 określa procedurę i terminy powiadamiania o wykorzystywanych lukach i poważnych incydentach.

Kary będą egzekwowane na poziomie krajowym zgodnie z prawem konkretnego kraju Unii Europejskiej. Regulator odpowiedzialny za przestrzeganie CRA w swojej jurysdykcji będzie mógł wybrać wyższą kwotę z przewidzianych opcji.

Osobna odpowiedzialność przewidziana jest za nieprawdziwe, niekompletne lub wprowadzające w błąd informacje przekazywane organom nadzorczym. W takim przypadku kara administracyjna może wynieść do 5 mln euro, czyli 5,8 mln dolarów.

Dlaczego temat aktualizacji stał się szczególnie ważny

Wcześniej specjaliści z Ledger ostrzegali przed nowym schematem oszustwa przeciwko właścicielom sprzętowych portfeli kryptowalutowych. Oszuści podszywali się pod dział wsparcia producenta i wysyłali wiadomości z żądaniem pilnego zainstalowania rzekomo krytycznej aktualizacji bezpieczeństwa.

Takie ataki pokazują, dlaczego dla rynku ważne są szybkie powiadomienia o lukach i zrozumiałe procedury reagowania. Użytkownicy muszą dokładnie sprawdzać wszelkie wiadomości o bezpieczeństwie, niezależnie od tego, czy jest to powiadomienie w aplikacji, e-mail czy wiadomość w komunikatorach takich jak Telegram.