EU、暗号資産ウォレットの重大脆弱性を24時間以内に報告義務　違反時は最大1500万ユーロの制裁金

欧州連合（EU）は、暗号資産のハードウエア・ソフトウエアウォレットを手がける事業者に対し、重大なセキュリティー上の脆弱性や実際の悪用事例を把握した後、24時間以内に当局へ報告するよう義務付けた。

コインテレグラフが9月14日に報じたところによると、欧州委員会（EC）は9月11日、「サイバー・レジリエンス法（Cyber Resilience Act、CRA）」に基づくセキュリティー事故の報告規定を施行した。

これにより、EUで製品を提供する暗号資産ウォレットのメーカーは、実際に悪用されている脆弱性や深刻なセキュリティー問題を発見した場合、24時間以内に早期警報を提出しなければならない。続いて72時間以内に正式な報告を完了する必要がある。

追加の報告義務も課される。脆弱性の修正や緩和措置を講じた後は14日以内に最終報告書を提出しなければならず、重大なセキュリティー事故では1カ月以内の最終報告が求められる。

規定に違反した場合、多額の制裁金が科される可能性がある。CRA第13条と第14条を順守しなかった企業には、最大1500万ユーロ（約27億円）の制裁金、または世界全体の年間売上高の2.5%のいずれか高い方が適用される。不正確または不完全な情報を提出した場合でも、最大500万ユーロ（約9億円）の制裁金が科される。

今回の措置は、暗号資産のハードウエアウォレットを巡るセキュリティー事故が相次ぐなかで導入された。トレザー（Trezor）は9月4日、配送業者シップモンク（ShipMonk）の情報流出を受け、米国の顧客6万7000人が追加被害のリスクにさらされたと明らかにした。当初の推計だった1万4000人から大幅に増えた。

トレザーとビットボックス（BitBox）は最近、第三者の電子メールサービスが侵害された可能性が浮上したことを受け、緊急のセキュリティー通知を装うフィッシングメールへの注意も利用者に促した。

これに先立つ6月には、レイヤー1ブロックチェーンのジリカ（Zilliqa）も、ジリカのレジャーアプリの脆弱性を悪用すれば、攻撃者が公開されたオンチェーンデータから利用者の秘密鍵を復元できる可能性があると警告していた。

欧州委員会は、今回の報告義務が暗号資産ウォレットを含む、EU市場で提供されるあらゆる「デジタル要素を含む製品」に適用されると説明した。消費者と企業をサイバー脅威から守ることが狙いだとしている。