Les fabricants de portefeuilles crypto et d’autres produits comportant des éléments numériques doivent commencer à signaler les vulnérabilités activement exploitées et les incidents de sécurité graves affectant des produits mis à disposition dans l’Union européenne à compter du 11 septembre. Le signalement initial doit être transmis via la Single Reporting Platform gérée par l’ENISA au CSIRT de l’État membre où le fabricant a son établissement principal et, dans des circonstances normales, à l’ENISA.

L’exigence prévue par l’article 14 du Cyber Resilience Act (CRA) de l’Union européenne entre en vigueur avant la plupart des dispositions du règlement. Le cadre plus large du CRA, notamment les exigences concernant la conception des produits, la documentation et la conformité, s’applique principalement à partir du 11 décembre 2027. Toutefois, la disposition relative au signalement, qui entre en vigueur plus tôt, signifie qu’une entreprise de portefeuilles peut déjà être soumise à un délai légal lorsqu’un exploit est actif.

La règle couvre également les produits entrant dans le champ d’application et mis à disposition dans l’UE avant décembre 2027, plutôt que de s’appliquer uniquement aux futurs appareils et logiciels. La Commission européenne a publié des orientations supplémentaires sur le signalement des vulnérabilités et des incidents dans le cadre du CRA.

Les portefeuilles matériels et logiciels peuvent relever du champ d’application

Le CRA s’applique aux produits matériels et logiciels mis à disposition à des fins commerciales dans l’UE lorsque leur utilisation prévue ou raisonnablement prévisible comprend une connexion logique ou physique, directe ou indirecte, à un appareil ou à un réseau. Les portefeuilles matériels commerciaux, ainsi que les applications de portefeuille pour ordinateur et appareil mobile, pourraient donc être concernés.

L’obligation légale incombe au fabricant : la personne ou l’entreprise qui développe un produit, le fait développer et le commercialise sous son propre nom ou sa propre marque. Une entreprise qui vend un appareil matériel ou distribue un logiciel de portefeuille dans l’UE constitue un exemple plus évident qu’un contributeur individuel à un projet open source sans lien.

Les portefeuilles crypto ne sont pas spécifiquement mentionnés dans le CRA. Déterminer si un produit donné relève de la loi peut donc encore nécessiter une analyse juridique.

Le premier signalement doit être effectué dans les 24 heures

La première transmission constitue une alerte précoce, et non une enquête technique complète. Dès qu’un fabricant a connaissance d’une vulnérabilité activement exploitée, il doit en informer les autorités sans retard indu et au plus tard dans les 24 heures qui suivent. Le cas échéant, l’alerte précoce doit identifier les États membres dans lesquels l’entreprise sait que le produit concerné a été mis à disposition.

Le même délai s’applique à un incident grave affectant la sécurité du produit. Dans ce cas, l’alerte précoce doit au minimum indiquer si le fabricant soupçonne qu’une activité illégale ou malveillante a causé l’incident et identifier les marchés concernés où le produit est disponible.

Une notification plus détaillée doit être transmise dans les 72 heures. Selon les orientations de la Commission européenne, elle doit inclure les informations disponibles sur le produit ainsi que la nature générale de l’exploit et de la vulnérabilité. La transmission doit également décrire les mesures correctives ou d’atténuation déjà prises, les mesures que les utilisateurs peuvent prendre et, le cas échéant, le niveau de sensibilité que le fabricant attribue à ces informations.

L’exploitation active déclenche le délai

Le délai de 24 heures ne commence pas à courir chaque fois qu’un chercheur signale en privé un bug. Il s’applique lorsque le fabricant prend connaissance du fait qu’une vulnérabilité est activement exploitée contre le produit, ou lorsqu’il prend connaissance d’un incident grave affectant la sécurité du produit.

Une entreprise peut recevoir un signalement de vulnérabilité, l’examiner et préparer un correctif sans entrer automatiquement dans le processus de signalement prévu par l’article 14. Le délai réglementaire commence lorsque l’entreprise apprend que des attaquants exploitent la faille avant que le correctif ne soit finalisé.

La couverture récente de Coldcard illustre l’importance de cette distinction. Dans une alerte publiée en juillet concernant une génération potentiellement faible de phrases initiales, le risque pratique ne se limitait pas à l’identification de la vulnérabilité. Les utilisateurs concernés devaient déterminer si leur phrase initiale avait été exposée et transférer leurs fonds si nécessaire. Cette affaire a été rapportée par Coindoo.

Les signalements sont adressés aux autorités et non automatiquement au public

L’obligation de signaler dans les 24 heures ne signifie pas qu’un fabricant doit immédiatement publier les détails d’une vulnérabilité de portefeuille non corrigée. Le signalement initial est envoyé au CSIRT compétent et à l’ENISA via la Single Reporting Platform. Il ne s’agit pas automatiquement d’un avis public ni d’un article de blog obligatoire contenant des informations techniques sur l’exploit.

Le CRA impose aux autorités et aux autres parties participant à l’application du règlement de protéger les informations confidentielles, notamment le code source, les secrets commerciaux et les informations susceptibles de compromettre une enquête. Dans les cas de divulgation coordonnée de vulnérabilités, un CSIRT peut retarder la diffusion d’une notification concernant une vulnérabilité exploitée à d’autres CSIRT lorsque des motifs de cybersécurité justifiés le permettent.

La divulgation publique reste possible lorsqu’elle est nécessaire pour prévenir ou atténuer un incident grave, gérer un incident en cours ou servir l’intérêt public. Après avoir consulté le fabricant, un CSIRT peut informer le public ou exiger que le fabricant le fasse. Les fabricants de portefeuilles doivent fournir aux autorités suffisamment d’informations pour évaluer le risque, tout en expliquant aux utilisateurs comment se protéger sans divulguer de détails susceptibles d’aider un attaquant.

Les portefeuilles open source ne sont pas automatiquement exemptés

Le CRA ne s’applique pas aux logiciels gratuits et open source qui ne sont pas mis à disposition sur le marché dans le cadre d’une activité commerciale. Il ne s’applique pas non plus aux personnes qui se contentent de contribuer au code d’un logiciel open source ne relevant pas de leur responsabilité.

Ces dispositions ne créent pas d’exemption générale pour les projets de portefeuilles open source. Les orientations de la Commission européenne sur les logiciels open source dans le cadre du CRA indiquent qu’un fabricant qui met sur le marché un produit gratuit et open source reste soumis aux obligations applicables aux fabricants. Le fait qu’un produit soit gratuit ne signifie pas nécessairement que sa fourniture est non commerciale.

Le CRA établit également une catégorie distincte pour les responsables de logiciels open source : des entités juridiques qui fournissent un soutien continu à un produit open source spécifique destiné à une activité commerciale. Ces responsables ne sont pas soumis aux amendes administratives prévues par le CRA, mais l’article 14 peut tout de même imposer un signalement lorsqu’ils participent au développement du produit ou lorsque des incidents graves affectent les systèmes de développement qu’ils fournissent.

Un correctif peut ne pas éliminer les risques existants pour les utilisateurs de portefeuilles

Pour les portefeuilles crypto, la fin d’un incident technique ne coïncide pas nécessairement avec la publication d’une mise à jour de sécurité. Une mise à jour peut empêcher une nouvelle exposition tout en laissant à risque les clés, phrases initiales ou configurations de portefeuille créées avec le logiciel concerné.

Cette distinction est apparue clairement lorsque Coldcard a publié une mise à jour de sécurité pour un précédent problème de génération de phrases initiales. La mise à jour de l’appareil n’a pas rendu sûres les phrases initiales concernées générées auparavant ; les utilisateurs devaient toujours créer de nouvelles clés et transférer leurs fonds. L’avis de Coldcard a également été couvert par Coindoo.

En vertu de la règle de signalement du CRA, cette réponse opérationnelle peut désormais s’accompagner d’une notification obligatoire aux autorités lorsqu’une exploitation active est identifiée. Les fabricants de portefeuilles doivent donc disposer d’un processus documenté pour déterminer si l’exploitation est active, notifier les autorités dans les 24 heures, préparer des mesures d’atténuation et avertir les utilisateurs concernés, alors que l’enquête sur l’incident et le plan complet de remédiation sont encore en cours. Ce processus doit également relier les dossiers techniques d’incident aux informations indiquant quels produits ont été mis à disposition sur quels marchés de l’UE, car l’alerte précoce peut obliger les fabricants à identifier ces États membres.

L’article original, « EU Crypto Wallet Makers Now Have 24 Hours to Report Exploits », a été publié par Coindoo.