أصبح صانعو محافظ العملات الرقمية تحت الضغط الآن. دخل قانون المرونة السيبرانية في الاتحاد الأوروبي حيز التنفيذ يوم الجمعة الماضي، ويمنح مزودي المحافظ المادية والبرمجية 24 ساعة فقط للإبلاغ عن أي ثغرة أمنية خطيرة بمجرد اكتشافها. لا توجد فترة سماح. لا يوجد مجال للمناورة.
يحدد القانون سلمًا من ثلاث مراحل للإبلاغ. تبدأ بإشعار أولي خلال 24 ساعة من الاكتشاف. ثم تقرير كامل خلال 72 ساعة. وأخيرًا، تقرير مفصل يصل بعد 14 يومًا من توفر الإجراءات التصحيحية للمستخدمين. الشركات التي تتجاوز هذه المواعيد النهائية تواجه غرامات تصل إلى 15 مليون يورو — أي ما يعادل تقريبًا 17.3 مليون دولار — أو 2.5% من إجمالي الإيرادات السنوية العالمية، أيهما أكبر. وإذا قدمت الشركة معلومات غير مكتملة أو مضللة خلال العملية، فهذه مشكلة منفصلة: يمكن أن تتراكم عقوبات إضافية تصل إلى 5 ملايين يورو فوق ذلك. تم الاتصال بالمفوضية الأوروبية للحصول على مزيد من التعليقات حول كيفية تنفيذ القانون عمليًا. لم يتم تلقي أي رد حتى الآن.
التوقيت يبدو دقيقًا للغاية.
تريزور وبيتبوكس وسلسلة من الاختراقات الأخيرة
يأتي إطلاق القانون بعد فترة صعبة لشركات المحافظ المادية. أعلنت تريزور، أحد الأسماء الكبيرة في هذا المجال، مؤخرًا عن اختراق بيانات مرتبط بشريكها في الشحن ShipMonk. بلغ العدد النهائي للعملاء الأمريكيين المتأثرين 67,000 — وهو قفزة مروعة من التقدير الأولي البالغ 14,000. تم الكشف عن معلومات شخصية. لم يبق الاختراق هادئًا لفترة طويلة، وعملية الإفصاح من تريزور جذبت التدقيق عبر الصناعة.
اضطرت كل من تريزور وبيتبوكس إلى تحذير المستخدمين من رسائل البريد الإلكتروني الاحتيالية. كانت الرسائل متنكرة كإشعارات أمنية عاجلة، تحاكي نوع التنبيه الذي قد ترغب في النقر عليه بالفعل. السبب المشتبه به: خدمات البريد الإلكتروني التابعة لأطراف ثالثة المخترقة. إنه متجه كلاسيكي، وعمل بشكل جيد بما يكفي لدرجة أن الشركتين شعرتا بالحاجة إلى إصدار تحذيرات عامة.
في وقت سابق، أبلغت شبكة بلوكتشين Zilliqa عن مشكلة منفصلة — ثغرة يمكن أن تكشف عن المفاتيح الخاصة للمستخدمين من خلال بيانات السلسلة العامة. ليست مسألة صغيرة. كشف المفاتيح الخاصة هو في الأساس أسوأ سيناريو في أمان العملات الرقمية. حذرت Zilliqa المستخدمين، لكن الحادثة أضافت إلى قائمة متزايدة من الأمثلة التي تظهر أن سطح الهجوم عبر المحافظ والبنية التحتية للبلوكتشين أوسع مما يرغب الكثيرون في الاعتراف به.
ما الذي يحاول الاتحاد الأوروبي فعله هنا بالفعل؟
وصفت المفوضية الأوروبية قانون المرونة السيبرانية كإجراء لحماية المستهلك، وليس مجرد قاعدة خاصة بالعملات الرقمية. تغطي اللوائح جميع المنتجات الرقمية المباعة أو المتاحة داخل الاتحاد الأوروبي — لذا فإن النطاق يتجاوز المحافظ بكثير. لكن منتجات المحافظ المادية والبرمجية الرقمية تقع مباشرة في مرمى النيران، نظرًا لكمية البيانات المالية الحساسة التي تحتفظ بها وسرعة استغلال الثغرات بمجرد معرفتها.
المنطق وراء نافذة الـ24 ساعة هو السرعة. عندما يتم استغلال ثغرة بنشاط، كل ساعة مهمة. يريد المنظمون معرفة الأمر بسرعة، حتى يتمكنوا من تنسيق الردود، ويفترض أنهم يدفعون الشركات لتصحيح الأمور بسرعة أكبر مما قد يفعلونه في جدولهم الزمني الخاص. ما إذا كانت الـ24 ساعة قابلة للتحقيق بالفعل للثغرات المعقدة — تلك التي قد تتطلب عملًا جنائيًا عميقًا قبل أن يعرف أي شخص حتى ما الذي يتعاملون معه — هو سؤال عادل. غير واضح كيف تخطط المفوضية للتعامل مع الحالات الحادة حيث لا تكون طبيعة الثغرة واضحة على الفور.
الغرامات هي الأداة الأكثر حدة هنا على الأرجح. 15 مليون يورو أو 2.5% من الإيرادات العالمية هي أموال حقيقية لمعظم مزودي المحافظ. إنه الرقم الذي يجذب فرق الامتثال للتوظيف وإجراءات الاستجابة للحوادث لتدوينها فعليًا. بالنسبة للشركات الصغيرة، يمكن أن يكون وجوديًا. بالنسبة للكبار، إنها حافز قوي لعدم الجلوس على ثغرة أثناء محاولة تصحيحها بهدوء دون أن يلاحظ أحد.
كان أمان المحافظ الرقمية نقطة ضغط لسنوات. كان من المفترض أن تكون المحافظ المادية الخيار الآمن — الإجابة على التخزين البارد بعيدًا عن اختراقات المنصات واستنزاف المحافظ الساخنة. لكن اختراق ShipMonk في تريزور يظهر أن حتى الشركات التي تصنع أجهزة الأمان المادية يمكن أن تتعرض للضرب من خلال شركاء طرف ثالث يتعاملون مع بيانات الشحن. سطح الهجوم ليس فقط الجهاز. إنه كل من تتعامل معه الشركة.
وضع بيتبوكس مع رسائل البريد الإلكتروني الاحتيالية يوضح نفس النقطة من زاوية مختلفة. يمكنك بناء منتج آمن ولا يزال يتم استهداف المستخدمين من خلال البنية التحتية للبريد الإلكتروني المحيطة به. الأمان ليس طبقة واحدة. إنه الكومة بأكملها.
الشركات عبر الاتحاد الأوروبي تعمل الآن على معرفة ما تعنيه هذه المتطلبات الجديدة فعليًا لعملياتها الداخلية. فرق القانونية تقرأ التفاصيل الدقيقة. فرق الأمان تحاول تحديد ما يعتبر “خطيرًا”. وموعد التقرير النهائي لمدة 14 يومًا ربما يسبب صداعًا لبعض قادة الهندسة، حيث لا يتم دائمًا شحن التصحيحات في جدول زمني نظيف.
عدد العملاء المتأثرين في تريزور: 67,000.
الأسئلة الشائعة
ما هي المواعيد النهائية للإبلاغ بموجب قانون المرونة السيبرانية للاتحاد الأوروبي لمزودي محافظ العملات الرقمية؟
يجب على مزودي المحافظ تقديم إشعار أولي خلال 24 ساعة من اكتشاف ثغرة خطيرة، وتقرير كامل خلال 72 ساعة، وتقرير نهائي بعد 14 يومًا من توفر الإجراءات التصحيحية.
ما هي الغرامات التي يمكن أن تواجهها الشركات عند خرق قواعد قانون المرونة السيبرانية؟
يمكن أن يؤدي عدم الامتثال إلى غرامات تصل إلى 15 مليون يورو أو 2.5% من الإيرادات العالمية، أيهما أكبر، مع عقوبة إضافية تصل إلى 5 ملايين يورو لتقديم معلومات غير مكتملة أو مضللة.
