Community Trust ScoreVérifié
Les fabricants de portefeuilles crypto sont désormais sous pression. La loi sur la résilience cyber de l’UE est entrée en vigueur vendredi dernier, et elle donne aux fournisseurs de portefeuilles matériels et logiciels exactement 24 heures pour signaler une vulnérabilité de sécurité grave après l’avoir découverte. Pas de période de grâce. Pas de marge de manœuvre.
La loi établit une échelle de signalement en trois étapes. D’abord, un avis préliminaire dans les 24 heures suivant la découverte. Ensuite, une notification complète dans les 72 heures. Et un rapport final et détaillé est attendu 14 jours après que les actions correctives soient réellement disponibles pour les utilisateurs. Les entreprises qui dépassent ces délais risquent des amendes pouvant atteindre 15 millions d’euros — soit environ 17,3 millions de dollars — ou 2,5 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Et si une entreprise fournit des informations incomplètes ou trompeuses au cours du processus, c’est un problème distinct : des pénalités supplémentaires pouvant atteindre 5 millions d’euros peuvent s’ajouter. La Commission européenne a été contactée pour plus de commentaires sur la manière dont l’application sera mise en œuvre dans la pratique. Aucune réponse pour l’instant.
Le timing est plutôt significatif.
Trezor, BitBox et une série de récentes violations
Le déploiement de la loi survient juste après une période difficile pour les entreprises de portefeuilles matériels. Trezor, l’un des grands noms du secteur, a récemment révélé une violation de données liée à son partenaire d’expédition ShipMonk. Le nombre final de clients américains affectés s’élève à 67 000 — un bond saisissant par rapport à l’estimation initiale de 14 000. Des informations personnelles ont été exposées. La violation n’est pas restée silencieuse longtemps, et le processus de divulgation de Trezor a attiré l’attention dans toute l’industrie.
Trezor et BitBox ont ensuite dû avertir les utilisateurs des e-mails de phishing. Les e-mails étaient déguisés en avis de sécurité urgents, imitant le genre d’alerte sur laquelle vous voudriez réellement cliquer. La cause suspectée : des services de messagerie tiers compromis. C’est un vecteur classique, et cela a suffisamment bien fonctionné pour que les deux entreprises estiment devoir diffuser des avertissements publics.
Plus tôt, le réseau blockchain Zilliqa a signalé un problème distinct — une vulnérabilité qui pourrait exposer les clés privées des utilisateurs via des données onchain publiques. Ce n’est pas une petite affaire. L’exposition des clés privées est essentiellement le pire scénario en matière de sécurité crypto. Zilliqa a averti les utilisateurs, mais l’incident a ajouté à une liste croissante d’exemples montrant que la surface d’attaque à travers les portefeuilles et l’infrastructure blockchain est plus large que beaucoup ne veulent l’admettre.
Ce que l’UE essaie réellement de faire ici
La Commission européenne a présenté la loi sur la résilience cyber comme une mesure de protection des consommateurs, pas seulement comme une règle spécifique aux cryptos. Les règlements couvrent tous les produits numériques vendus ou disponibles dans l’UE — donc la portée va bien au-delà des portefeuilles. Mais les produits matériels et logiciels cryptos sont clairement visés, étant donné la quantité de données financières sensibles qu’ils contiennent et la rapidité avec laquelle les vulnérabilités peuvent être exploitées une fois connues.
La logique derrière le délai de 24 heures est la rapidité. Lorsqu’un bug est activement exploité, chaque heure compte. Les régulateurs veulent être informés rapidement, afin de pouvoir coordonner les réponses et, vraisemblablement, pousser les entreprises à corriger plus rapidement qu’elles ne le feraient sur leur propre calendrier. La question de savoir si 24 heures sont réellement réalisables pour des vulnérabilités complexes — celles qui pourraient nécessiter un travail d’investigation approfondi avant que quiconque ne sache vraiment à quoi il a affaire — est légitime. On ne sait pas comment la Commission prévoit de gérer les cas limites où la nature de la faille n’est pas immédiatement évidente.
Les amendes sont probablement l’outil le plus tranchant ici. 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial est une somme conséquente pour la plupart des fournisseurs de portefeuilles. C’est le genre de chiffre qui pousse à embaucher des équipes de conformité et à rédiger réellement des procédures de réponse aux incidents. Pour les petites entreprises, c’est potentiellement existentiel. Pour les plus grandes, c’est une forte incitation à ne pas garder une vulnérabilité secrète tout en essayant de la corriger discrètement.
La sécurité des portefeuilles crypto est un point de pression depuis des années. Les portefeuilles matériels étaient censés être l’option sûre — la réponse de stockage à froid hors ligne aux piratages d’échanges et aux drains de portefeuilles chauds. Mais la violation de ShipMonk chez Trezor montre que même les entreprises fabriquant des dispositifs de sécurité physique peuvent être touchées via des partenaires tiers qui gèrent les données d’expédition. La surface d’attaque n’est pas seulement l’appareil. C’est tout le monde avec qui l’entreprise fait affaire.
La situation de phishing de BitBox illustre le même point sous un angle différent. Vous pouvez construire un produit sécurisé et avoir quand même des utilisateurs ciblés via l’infrastructure de messagerie qui l’entoure. La sécurité n’est pas une seule couche. C’est l’ensemble de la pile.
Les entreprises à travers l’UE travaillent maintenant pour comprendre ce que ces nouvelles exigences signifient réellement pour leurs processus internes. Les équipes juridiques lisent les petits caractères. Les équipes de sécurité essaient de déterminer ce qui est considéré comme « grave ». Et le délai de 14 jours pour le rapport final donne probablement des maux de tête à certains responsables techniques, car les correctifs ne sont pas toujours livrés selon un calendrier précis.
Nombre de clients affectés chez Trezor : 67 000.
Questions Fréquentes
Quels sont les délais de signalement selon la loi sur la résilience cyber de l’UE pour les fournisseurs de portefeuilles crypto ?
Les fournisseurs de portefeuilles doivent déposer un avis préliminaire dans les 24 heures suivant la découverte d’une vulnérabilité grave, un rapport complet dans les 72 heures, et un rapport final 14 jours après que les actions correctives soient disponibles.
Quelles amendes peuvent encourir les entreprises pour non-respect des règles de la loi sur la résilience cyber ?
Le non-respect peut entraîner des amendes allant jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, selon le montant le plus élevé, avec une pénalité supplémentaire pouvant atteindre 5 millions d’euros pour la soumission d’informations incomplètes ou trompeuses.
Pourquoi c'est important
Cette nouvelle obligation de signalement pour les fabricants de portefeuilles crypto représente un tournant majeur dans la régulation du secteur, mettant l'accent sur la sécurité des utilisateurs et la responsabilité des entreprises. En imposant un délai aussi court, l'Union européenne cherche à renforcer la confiance des consommateurs et à créer un environnement plus sécuritaire pour les transactions numériques, ce qui pourrait également influencer les décisions d'investissement dans le domaine des cryptomonnaies. Cette initiative pourrait inciter les acteurs du marché à améliorer leurs protocoles de sécurité, tout en posant des défis significatifs pour ceux qui peinent à se conformer à ces exigences strictes.
