受监管的商业加密钱包制造商必须根据欧盟《网络韧性法案》，在获悉其产品中的漏洞正被积极利用后的24小时内提交预警。该要求属于报告义务，并不要求在一天内修复漏洞，且仅适用于处于该法律商业适用范围内的钱包。

这项措施属于欧盟《网络韧性法案》的一部分，正式名称为《条例 (EU) 2024/2847》。该条例为连接设备或网络、带有数字元素的产品确立网络安全要求。欧盟委员会在其《网络韧性法案》报告指南和CRA摘要中提供了更多信息。

对于加密钱包制造商而言，最直接的变化是报告时钟非常短，并且从制造商获悉攻击正在进行时开始计算。

什么会启动24小时报告时钟？

当制造商获悉存在正被积极利用的漏洞，或其产品发生严重事件时，时钟开始计算。此后，制造商有24小时提交预警。

触发条件较为严格。它针对的是攻击者正在实际利用的漏洞，而不是在日常开发或测试中发现的所有缺陷。Freshfields的法律专家解释称，积极利用需要有可靠证据证明，恶意行为者在未经系统所有者许可的情况下正在利用该漏洞。

因此，24小时期限是向监管机构发出警报的义务，而不是必须已经准备好补丁的要求。钱包制造商可以在继续调查事件并开发纠正措施的同时，报告正在发生的攻击。

预警只是第一阶段的报告。制造商必须在知悉事件后的72小时内提交完整通知，该通知与最初的24小时预警是两个不同步骤。

对于正被积极利用的漏洞，最终报告最迟须在纠正措施可用后的14天内提交。对于严重事件，最终报告须在72小时通知后的一个月内提交。

这些报告义务自11 September 2026起生效。《网络韧性法案》的更广泛义务将自11 December 2027起适用。该条例于10 December 2024生效。

哪些加密钱包制造商属于适用范围？

该规则适用于在欧盟市场提供的带有数字元素的产品。其中包括预期用途或可合理预见的用途涉及与设备或网络建立数据连接的产品，这一描述涵盖大多数加密钱包软件和硬件。

“商业”一词具有重要意义。产品进入市场，意味着在商业活动过程中供应该产品，无论产品是收费提供还是免费提供。如果软件作为商业活动的一部分被供应，即使免费分发，也可能属于适用范围。

并非通过商业活动供应的产品不属于这一特定范围。该规则是否适用于任何具体钱包，仍需个案判断。欧盟委员会的材料没有对具体钱包产品进行分类，也没有任何引用来源确认某一指定硬件钱包、软件钱包或托管服务属于适用范围或获得豁免。

开源项目受到单独对待。自11 December 2027起，开源软件管理者将承担其在第24(3)条项下的报告义务。这些管理者不受《网络韧性法案》侵权处罚的约束。

该条例还规定了基于企业规模的资格条件。根据欧盟委员会摘要，符合微型企业或小型企业条件的制造商可能不会因错过24小时期限而被罚款。但这并不会免除其报告义务。

该规则同样适用于在11 December 2027之前已经投放欧盟市场的产品。

对钱包制造商的运营影响

24小时期限意味着，公司在攻击开始后几乎没有时间建立事件响应流程。Freshfields分析师指出，较短的报告期限为企业在事件发生后建立流程留下的时间非常有限。

报告期限会持续计算，周末和公共假日也不例外。Freshfields解释称，这些日期不会暂停报告期限。

因此，钱包团队可能需要提前建立流程，以记录知悉事件的确切时间，将事项升级至负责团队，并迅速汇总所需的事件信息。

监管报告、事件调查和修复是彼此独立的任务。制造商可以在继续确定攻击范围并开发或部署修复方案的同时通知监管机构。报告流程本身并未设定必须在24小时内完成修复的期限。

制造商通过《网络韧性法案》单一报告平台提交报告。报告发送至相关国家计算机安全事件响应小组，即CSIRT；除特别例外情况外，相关信息会同时提供给欧盟网络安全局，即ENISA。

对于钱包用户而言，提交报告并不保证钱包安全，也不保证用户资金受到保护。它只是让主管机构提前获悉正在进行的攻击。在将相关要求视为最终规定之前，应根据官方指南核实报告所需字段、提交程序以及任何客户通知义务。

对于使用在欧盟运营的公司所提供钱包的加密资产持有者而言，实际影响是，当攻击者利用产品漏洞时，制造商可能现在必须迅速通知监管机构。这一报告机制自11 September 2026起适用。

本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场具有重大风险。作出决策前，请始终自行开展研究。