受規範的商業加密貨幣錢包製造商，必須依據歐盟《網路韌性法》，在得知其產品中的漏洞正遭到積極利用後 24 小時內提交早期警示。這項要求是通報義務，並非要求在一天內修復漏洞；而且只適用於落入該法律商業適用範圍的錢包。

這項措施是歐盟《網路韌性法》的一部分，正式名稱為 Regulation (EU) 2024/2847。該法規針對具備數位元素、可連接裝置或網路的產品制定網路安全要求。歐盟執委會在其 《網路韌性法》通報指南 與 CRA 摘要 中提供進一步資訊。

對加密貨幣錢包製造商而言，最直接的變化是通報期限非常短，而且從製造商得知攻擊正在進行時開始計算。

什麼情況會啟動 24 小時通報期限？

當製造商得知其產品存在正遭積極利用的漏洞，或發生影響其產品的嚴重事件時，計時便會開始。之後，製造商有 24 小時提交早期警示。

觸發條件相當狹窄。它針對的是攻擊者實際正在利用的漏洞，而不是在日常開發或測試中發現的所有缺陷。Freshfields 的法律專家表示，積極利用需要有可靠證據，證明惡意行為者在未經系統所有者許可的情況下利用該漏洞。

因此，24 小時期限是提醒監管機構的義務，而不是必須備妥修補程式的要求。錢包製造商可以在持續調查事件並開發修正措施的同時，通報正在進行的攻擊。

早期警示只是第一個通報階段。完整通知必須在得知事件後 72 小時內提交，這與最初的 24 小時警示是分開的要求。

對於遭積極利用的漏洞，最終報告最遲須在修正措施可用後 14 天內提交。對於嚴重事件，最終報告須在 72 小時通知後一個月內提交。

這些通報義務自 11 September 2026 起開始實施。更廣泛的《網路韌性法》義務將自 11 December 2027 起適用。該法規於 10 December 2024 生效。

哪些加密貨幣錢包製造商受到涵蓋？

該規則適用於在歐盟市場提供、且具備數位元素的產品。這包括其預期或合理可預見用途涉及與裝置或網路建立資料連線的產品，而大多數加密貨幣錢包軟體與硬體都符合這項描述。

「商業」一詞具有重要意義。讓產品在市場上提供，指的是在商業活動過程中供應產品，無論產品是付費提供還是免費提供。即使軟體不收費，只要是作為商業活動的一部分供應，仍可能落入適用範圍。

未透過商業活動供應的產品，不屬於這項特定規範的範圍。該規則是否適用於個別錢包，仍須逐案判斷。歐盟執委會的資料並未對特定錢包產品進行分類，且沒有任何引用來源確認某一指定硬體錢包、軟體錢包或託管服務是受到涵蓋還是獲得豁免。

開源專案則另行處理。自 11 December 2027 起，開源軟體管理者將根據 Article 24(3) 承擔自身的通報義務。這些管理者不受《網路韌性法》侵規處罰規定約束。

該法規也提供依企業規模區分的資格條件。根據歐盟執委會摘要，符合微型企業或小型企業資格的製造商，可能不會因錯過 24 小時期限而被處以罰款，但這並不會免除其通報義務。

該規則也適用於在 11 December 2027 之前已經投放歐盟市場的產品。

對錢包製造商的營運影響

24 小時期限意味著，公司在攻擊開始後幾乎沒有時間才建立事件應變流程。Freshfields 分析師指出，短暫的通報期限讓企業在事件發生後建立程序的空間十分有限。

期限會持續經過週末與公共假日。Freshfields 說明，這些日子不會暫停通報期間的計算。

因此，錢包團隊可能需要預先建立程序，以記錄得知事件的確切時間、將事項升級至負責團隊，並迅速彙整必要的事件資訊。

監管通報、事件調查與修復是不同的工作。製造商可以在持續確認攻擊範圍並開發或部署修復方案的同時通知監管機構。通報流程本身並未設定必須在 24 小時內完成修復的期限。

製造商透過 Cyber Resilience Act Single Reporting Platform 提交報告。報告會送交相關國家的電腦安全事件應變小組（CSIRT），相關資訊也會同步提供給 European Union Agency for Cybersecurity（ENISA），但特別例外的情況除外。

對錢包使用者而言，提交報告並不保證錢包安全，也不保證使用者資金受到保護。它只是讓主管機關及早得知正在發生的攻擊。在將相關要求視為最終規定前，應先依據官方指南確認必要的報告欄位、提交程序，以及任何通知客戶的義務。

對於使用在歐盟營運之公司所提供錢包的加密貨幣持有者而言，實際影響是，當攻擊者利用產品漏洞時，製造商現在可能必須迅速通知監管機構。這項通報要求自 11 September 2026 起適用。

本文僅供資訊參考，不構成財務或投資建議。加密貨幣與數位資產市場具有重大風險。在作出決策前，務必自行進行研究。