暗号資産ウォレットなどデジタル要素を備えた製品のメーカーは、9月11日から、欧州連合（EU）で提供される製品に影響を及ぼす積極的に悪用されている脆弱性や重大なセキュリティインシデントの報告を開始しなければならない。初期報告は、ENISAが運営する単一報告プラットフォームを通じて、メーカーの主たる拠点がある加盟国のCSIRTに提出し、通常はENISAにも提出する必要がある。

EUサイバーレジリエンス法（CRA）第14条に基づくこの要件は、規則の大部分に先行して発効する。製品設計、文書化、適合性に関する要件を含むCRAの広範な枠組みは、主に2027年12月11日から適用される。しかし、先行する報告規定により、エクスプロイトが実際に悪用されている場合、ウォレット企業はすでに法定期限に直面する可能性がある。

この規則は、2027年12月より前にEUで提供された対象製品にも適用され、将来のデバイスやソフトウェアのリリースだけを対象とするものではない。欧州委員会は、CRAの脆弱性およびインシデント報告に関するガイダンスも公表している。

ハードウェアウォレットとソフトウェアウォレットが対象となる可能性

CRAは、EUで商業的に提供されるハードウェアおよびソフトウェア製品について、意図された使用または合理的に予見可能な使用に、デバイスやネットワークとの直接的または間接的な論理的もしくは物理的接続が含まれる場合に適用される。そのため、商用ハードウェアウォレットに加え、デスクトップおよびモバイルのウォレットアプリケーションも対象となる可能性がある。

法的義務を負うのはメーカー、すなわち製品を開発する、または開発させ、自らの名称や商標で販売する個人または企業である。EUでハードウェアデバイスを販売したり、ウォレットソフトウェアを配布したりする企業は、関係のないオープンソースプロジェクトに個人として貢献する者よりも、明確な該当例となる。

暗号資産ウォレットはCRAで明示的に指定されていないため、特定の製品が法律の対象となるかどうかの判断には、なお法的評価が必要となる可能性がある。

初期報告は24時間以内に必要

最初の提出は、技術調査を完了した報告ではなく、初期警告である。メーカーが脆弱性の積極的な悪用を認識した場合、遅滞なく、遅くともその認識から24時間以内に当局へ通知しなければならない。該当する場合、初期警告には、影響を受けた製品が提供されたことを会社が把握している加盟国を記載する必要がある。

製品のセキュリティに影響を及ぼす重大なインシデントにも同じ期限が適用される。この場合、初期警告には少なくとも、違法または悪意ある活動がインシデントを引き起こしたとメーカーが疑っているかどうか、および製品が提供されている関連市場を記載しなければならない。

より詳細な通知は72時間以内に提出する必要がある。欧州委員会のガイダンスによると、この通知には製品に関して入手可能な情報と、エクスプロイトおよび脆弱性の一般的性質を含めなければならない。また、すでに実施した是正措置や緩和措置、ユーザーが取れる対応、該当する場合にはメーカーがその情報をどの程度機微なものと考えているかも記載する必要がある。

積極的な悪用が期限の起点

24時間の期限は、研究者が非公開でバグを報告した時点で始まるわけではない。メーカーが、製品に対して脆弱性が積極的に悪用されていること、または製品のセキュリティに影響を及ぼす重大なインシデントを認識した時点で適用される。

企業は、脆弱性の報告を受け、調査し、パッチを準備しただけで、自動的に第14条の報告プロセスに入るわけではない。修正が完了する前に攻撃者が脆弱性を悪用していると会社が知った時点で、規制上の期限が始まる。

最近のColdcardに関する報道は、この区別が重要な理由を示している。潜在的に脆弱なシード生成に関する7月の警告では、実際のリスクは脆弱性の特定にとどまらなかった。影響を受けたユーザーは、自分のシードが流出した可能性を確認し、必要に応じて資金を移す必要があった。この報道はCoindooによるものだった。

報告先は当局であり、自動的に一般公開されるわけではない

24時間以内の報告義務は、メーカーが未修正のウォレット脆弱性の詳細を直ちに公表しなければならないことを意味しない。初期報告は単一報告プラットフォームを通じて、関連するCSIRTとENISAに送られる。技術的なエクスプロイト情報を含む一般向け勧告やブログ記事が自動的に義務付けられるわけではない。

CRAは、規則の適用に関わる当局やその他の関係者に対し、ソースコード、企業秘密、調査を損なう可能性のある情報など、機密情報を保護するよう求めている。協調的な脆弱性開示のケースでは、正当なサイバーセキュリティ上の理由がある場合、CSIRTは悪用された脆弱性に関する通知を他のCSIRTへ配布するのを遅らせることができる。

重大なインシデントの防止または緩和、進行中のインシデントへの対応、あるいは公益のために必要な場合には、一般公開が行われる可能性もある。CSIRTはメーカーと協議したうえで、一般に情報を提供したり、メーカーに公表を求めたりできる。ウォレットメーカーは、攻撃者を助ける可能性のある詳細を公開せずに、当局がリスクを評価できるだけの情報を提供し、ユーザーには自身を守る方法を説明しなければならない。

オープンソースウォレットが自動的に免除されるわけではない

CRAは、商業活動の過程で市場に提供されていない無償のオープンソースソフトウェアには適用されない。また、自らの責任下にないオープンソースソフトウェアに単にコードを貢献する人にも適用されない。

これらの規定は、オープンソースウォレットプロジェクトに対する一律の免除を意味しない。欧州委員会のCRAにおけるオープンソースソフトウェアに関するガイダンスは、無償のオープンソース製品を市場に投入するメーカーも、メーカーとしての義務を負うとしている。製品が無償であることは、その提供が非商業的であることを必ずしも意味しない。

CRAはまた、オープンソースソフトウェアのスチュワードという別の区分も設けている。これは、商業活動を目的とする特定のオープンソース製品に継続的な支援を提供する法人を指す。これらのスチュワードはCRA上の行政罰の対象ではないが、製品開発に関与している場合や、提供する開発システムに重大なインシデントが影響した場合、第14条により報告を求められる可能性がある。

パッチを適用しても既存のウォレットリスクがなくなるとは限らない

暗号資産ウォレットでは、技術的なインシデントの終結が、セキュリティアップデートのリリースと必ずしも一致するわけではない。アップデートによって新たな被害は防げても、影響を受けたソフトウェアで作成された鍵、シードフレーズ、ウォレット設定がリスクにさらされたままになる可能性がある。

この違いは、Coldcardが以前のシード生成問題に対するセキュリティアップデートをリリースした際に明らかになった。デバイスをアップデートしても、以前に生成された影響対象のシードが安全になるわけではなく、ユーザーは新しい鍵を作成して資金を移す必要があった。Coldcardの通知についてはCoindooも報じている。

CRAの報告規則の下では、積極的な悪用が確認された場合、この運用上の対応を当局への義務的な通知と並行して実施することになる可能性がある。そのためウォレットメーカーは、悪用が積極的に行われているかを判断し、24時間以内に当局へ通知し、緩和策を準備し、影響を受けたユーザーに警告するための文書化されたプロセスを整備する必要がある。インシデントの調査と完全な是正計画がまだ進行中であっても、この対応を実施しなければならない。また、初期警告では製品が提供された加盟国の特定を求められる可能性があるため、そのプロセスでは技術的なインシデント記録と、どの製品がどのEU市場で提供されたかに関する情報も結び付ける必要がある。

元の記事「EU Crypto Wallet Makers Now Have 24 Hours to Report Exploits（EUの暗号資産ウォレットメーカー、エクスプロイト報告に24時間の期限）」は、Coindooが掲載した。