I produttori di wallet crypto e di altri prodotti con elementi digitali devono iniziare a segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi di sicurezza che riguardano prodotti messi a disposizione nell’Unione europea a partire dall’11 settembre. La segnalazione iniziale deve essere inviata tramite la Single Reporting Platform gestita da ENISA al CSIRT dello Stato membro in cui il produttore ha la propria sede principale e, in condizioni normali, a ENISA.

Il requisito previsto dall’Articolo 14 del Cyber Resilience Act dell’Unione europea (CRA) entra in vigore prima della maggior parte delle disposizioni del regolamento. Il quadro più ampio del CRA, compresi i requisiti relativi alla progettazione dei prodotti, alla documentazione e alla conformità, si applica principalmente dall’11 dicembre 2027. Tuttavia, la disposizione sulle segnalazioni entra in vigore prima e significa che una società che produce wallet può già essere soggetta a una scadenza legale quando un exploit è attivo.

La norma riguarda anche i prodotti inclusi nell’ambito di applicazione messi a disposizione nell’UE prima di dicembre 2027, non solo i futuri dispositivi e rilasci software. La Commissione europea ha pubblicato ulteriori indicazioni sulle segnalazioni di vulnerabilità e incidenti previste dal CRA.

I wallet hardware e software potrebbero rientrare nell’ambito di applicazione

Il CRA si applica ai prodotti hardware e software messi a disposizione commercialmente nell’UE quando il loro uso previsto o ragionevolmente prevedibile comprende una connessione logica o fisica, diretta o indiretta, a un dispositivo o a una rete. I wallet hardware commerciali, insieme alle applicazioni wallet per desktop e dispositivi mobili, potrebbero quindi rientrare nell’ambito di applicazione.

L’obbligo legale ricade sul produttore: la persona o società che sviluppa un prodotto, lo fa sviluppare e lo commercializza con il proprio nome o marchio. Un’azienda che vende un dispositivo hardware o distribuisce software wallet nell’UE rappresenta un esempio più chiaro rispetto a un singolo collaboratore di un progetto open source non correlato.

Poiché i wallet crypto non sono menzionati specificamente nel CRA, stabilire se un determinato prodotto rientri nella legge potrebbe comunque richiedere una valutazione legale.

La prima segnalazione deve essere inviata entro 24 ore

La prima comunicazione è un avviso preliminare, non un’indagine tecnica completa. Quando viene a conoscenza di una vulnerabilità attivamente sfruttata, il produttore deve informare le autorità senza indebito ritardo e comunque non oltre 24 ore dopo. Se applicabile, l’avviso preliminare deve indicare gli Stati membri nei quali la società sa che il prodotto interessato è stato messo a disposizione.

La stessa scadenza si applica a un incidente grave che incide sulla sicurezza del prodotto. In questo caso, l’avviso preliminare deve indicare almeno se il produttore sospetta che l’incidente sia stato causato da un’attività illecita o dolosa e identificare i mercati pertinenti nei quali il prodotto è disponibile.

Una notifica più dettagliata deve essere inviata entro 72 ore. Secondo le indicazioni della Commissione europea, deve includere le informazioni disponibili sul prodotto e la natura generale dell’exploit e della vulnerabilità. La comunicazione deve inoltre descrivere le misure correttive o di mitigazione già adottate, i passaggi che gli utenti possono compiere e, se pertinente, il livello di sensibilità attribuito dal produttore alle informazioni.

Lo sfruttamento attivo fa scattare il termine

Il periodo di 24 ore non inizia ogni volta che un ricercatore segnala privatamente un bug. Si applica quando il produttore viene a sapere che una vulnerabilità viene sfruttata attivamente contro il prodotto o quando viene a conoscenza di un incidente grave che incide sulla sicurezza del prodotto.

Una società può ricevere una segnalazione di vulnerabilità, esaminarla e preparare una patch senza entrare automaticamente nel processo di segnalazione previsto dall’Articolo 14. La scadenza regolamentare inizia quando la società scopre che gli aggressori stanno sfruttando la vulnerabilità prima che la correzione sia completa.

Le recenti notizie su Coldcard mostrano perché questa distinzione sia importante. In un avviso di luglio relativo a una generazione potenzialmente debole dei seed, il rischio pratico andava oltre l’identificazione della vulnerabilità. Gli utenti interessati dovevano stabilire se il proprio seed fosse stato esposto e trasferire i fondi, se necessario. La notizia è stata riportata da Coindoo.

Le segnalazioni sono destinate alle autorità, non automaticamente al pubblico

Il requisito delle 24 ore non significa che un produttore debba pubblicare immediatamente i dettagli di una vulnerabilità non ancora corretta di un wallet. La segnalazione iniziale viene inviata al CSIRT competente e a ENISA tramite la Single Reporting Platform. Non si tratta automaticamente di un avviso pubblico o di un post obbligatorio contenente informazioni tecniche sull’exploit.

Il CRA impone alle autorità e alle altre parti coinvolte nell’applicazione del regolamento di proteggere le informazioni riservate, inclusi il codice sorgente, i segreti commerciali e le informazioni che potrebbero compromettere un’indagine. Nei casi di divulgazione coordinata delle vulnerabilità, un CSIRT può ritardare la distribuzione di una notifica relativa a una vulnerabilità sfruttata agli altri CSIRT quando sussistono motivi di cybersicurezza giustificati.

La divulgazione pubblica resta possibile quando è necessaria per prevenire o mitigare un incidente grave, gestire un incidente in corso o tutelare l’interesse pubblico. Dopo aver consultato il produttore, un CSIRT può informare il pubblico o imporre al produttore di farlo. I produttori di wallet devono fornire alle autorità informazioni sufficienti per valutare il rischio, spiegando al contempo agli utenti come proteggersi senza divulgare dettagli che potrebbero aiutare un aggressore.

I wallet open source non sono automaticamente esenti

Il CRA non si applica al software libero e open source che non viene messo a disposizione sul mercato nell’ambito di un’attività commerciale. Inoltre, non si applica alle persone che si limitano a contribuire con codice a software open source che non rientra sotto la loro responsabilità.

Queste disposizioni non creano un’esenzione generale per i progetti di wallet open source. Le indicazioni della Commissione europea sul software open source ai sensi del CRA stabiliscono che un produttore che immette sul mercato un prodotto libero e open source resta soggetto agli obblighi del produttore. Il fatto che un prodotto sia gratuito non significa necessariamente che la sua fornitura sia non commerciale.

Il CRA istituisce inoltre una categoria separata per gli amministratori di software open source: entità giuridiche che forniscono supporto continuativo a uno specifico prodotto open source destinato ad attività commerciali. Questi soggetti non sono sottoposti alle sanzioni amministrative del CRA, ma l’Articolo 14 può comunque imporre obblighi di segnalazione quando partecipano allo sviluppo del prodotto o quando incidenti gravi colpiscono i sistemi di sviluppo da loro forniti.

Una patch potrebbe non eliminare i rischi già esistenti per gli utenti dei wallet

Per i wallet crypto, la conclusione di un incidente tecnico non coincide necessariamente con il rilascio di un aggiornamento di sicurezza. Un aggiornamento può impedire nuove esposizioni, lasciando però a rischio le chiavi, le frasi seed o le configurazioni dei wallet create con il software interessato.

Questa distinzione è emersa quando Coldcard ha rilasciato un aggiornamento di sicurezza per un precedente problema di generazione dei seed. L’aggiornamento del dispositivo non ha reso sicuri i seed interessati generati in precedenza; gli utenti dovevano comunque creare nuove chiavi e trasferire i propri fondi. L’avviso di Coldcard è stato riportato anche da Coindoo.

In base alla norma del CRA sulle segnalazioni, questa risposta operativa può ora svolgersi parallelamente a una notifica obbligatoria alle autorità quando viene identificato uno sfruttamento attivo. I produttori di wallet hanno quindi bisogno di una procedura documentata per stabilire se lo sfruttamento è attivo, informare le autorità entro 24 ore, predisporre misure di mitigazione e avvisare gli utenti interessati mentre l’indagine sull’incidente e il piano completo di risoluzione sono ancora in corso. La procedura deve inoltre collegare i registri tecnici degli incidenti alle informazioni sui prodotti messi a disposizione nei diversi mercati dell’UE, poiché l’avviso preliminare può richiedere ai produttori di identificare tali Stati membri.

Il report originale, “EU Crypto Wallet Makers Now Have 24 Hours to Report Exploits”, è stato pubblicato da Coindoo.