Los fabricantes de billeteras de hardware y software que comercialicen sus productos en la Unión Europea entran en una nueva etapa regulatoria. La Ley de Resiliencia Cibernética obliga a comunicar rápidamente vulnerabilidades explotadas activamente e incidentes graves, con sanciones que pueden alcanzar los 15 millones de euros o el 2,5% de la facturación mundial anual.
Europa endurece la seguridad de las billeteras de criptomonedas
La Unión Europea está elevando las exigencias de ciberseguridad para los fabricantes de productos digitales, incluyendo los proveedores de billeteras de criptomonedas de hardware y software.
Los nuevos requisitos de notificación de la Ley de Resiliencia Cibernética, conocida como CRA por sus siglas en inglés, obligan a los fabricantes afectados a informar cuando tengan conocimiento de determinadas vulnerabilidades explotadas activamente o incidentes graves relacionados con sus productos.
El régimen no está diseñado exclusivamente para el sector cripto. Se aplica de manera mucho más amplia a los productos con elementos digitales comercializados en la Unión Europea, lo que incorpora a las billeteras cripto dentro de un marco general europeo de ciberseguridad.
Primera alerta en un máximo de 24 horas
Uno de los cambios más importantes es la velocidad con la que deberán actuar los fabricantes.
Cuando una empresa tenga conocimiento de una vulnerabilidad explotada activamente que esté sujeta a las obligaciones de notificación, deberá presentar una alerta temprana dentro de las primeras 24 horas.
Posteriormente tendrá que proporcionar información más completa.
El calendario establece una notificación de vulnerabilidad dentro de las 72 horas, seguida posteriormente por un informe final conforme a los plazos establecidos por la normativa.
En el caso de las vulnerabilidades, ese informe final deberá presentarse como máximo 14 días después de que esté disponible una medida correctiva o de mitigación.
Para determinados incidentes graves, el informe final deberá llegar dentro del plazo de un mes.
El reloj comienza cuando el fabricante tiene conocimiento
Existe un matiz importante en estos plazos.
No significa que una compañía tenga únicamente 24 horas desde el instante exacto en el que técnicamente comienza un ataque desconocido.
El requisito comienza a operar desde que el fabricante tiene conocimiento de la vulnerabilidad o incidente sujeto a notificación.
Esta diferencia resulta especialmente relevante para el sector cripto, donde determinadas vulnerabilidades pueden permanecer ocultas durante largos periodos antes de ser detectadas.
Una vez identificadas, sin embargo, las empresas tendrán una ventana muy limitada para iniciar la comunicación correspondiente.
Las multas pueden alcanzar los 15 millones de euros
El incumplimiento puede tener consecuencias económicas considerables.
Las infracciones relacionadas con determinadas obligaciones establecidas por la CRA pueden derivar en sanciones administrativas de hasta 15 millones de euros, aproximadamente $17,3 millones según la conversión utilizada por la fuente, o hasta el 2,5% de la facturación mundial anual total de la empresa durante el ejercicio anterior, aplicándose el importe que corresponda conforme al régimen sancionador.
Para una gran compañía tecnológica internacional, el porcentaje sobre ingresos globales podría superar ampliamente la cantidad fija.
Además, proporcionar información incorrecta, incompleta o engañosa a las autoridades también puede generar sanciones de hasta 5 millones de euros.
Las hardware wallets quedan directamente expuestas al nuevo marco
La regulación resulta especialmente relevante para fabricantes de hardware wallets, donde una vulnerabilidad puede poner en peligro activos custodiados directamente por los usuarios.
A diferencia de un exchange centralizado, una billetera de autocustodia permite al usuario mantener el control de sus propias claves.
Pero esa característica no elimina los riesgos derivados del software, firmware, aplicaciones asociadas, cadenas de suministro o servicios externos utilizados por el fabricante.
La CRA pretende establecer obligaciones de seguridad durante el ciclo de vida de los productos digitales y acelerar la respuesta cuando aparece una amenaza importante.
Los recientes incidentes muestran la importancia del problema
Las nuevas obligaciones llegan después de varias alertas relacionadas con proveedores conocidos del sector.
Trezor informó recientemente de que aproximadamente 67.000 clientes estadounidenses podían encontrarse expuestos después de una filtración relacionada con su proveedor de envíos ShipMonk, ampliando considerablemente una estimación inicial de unos 14.000 afectados.
Posteriormente, Trezor y BitBox alertaron sobre campañas de phishing presentadas como comunicaciones urgentes de seguridad después de incidentes vinculados con servicios externos de correo electrónico.
Estos casos son especialmente peligrosos porque los atacantes no necesitan necesariamente vulnerar directamente una hardware wallet.
Información obtenida mediante terceros puede utilizarse para lanzar ataques de phishing e ingeniería social destinados a convencer al propietario de que revele su frase semilla, credenciales u otra información crítica.
Una filtración de datos no equivale automáticamente al robo de criptomonedas
También es importante distinguir entre diferentes tipos de incidentes.
La exposición de datos de clientes no significa necesariamente que las claves privadas o criptomonedas almacenadas en las billeteras hayan sido comprometidas.
Sin embargo, nombres, correos electrónicos, números de teléfono o direcciones pueden facilitar campañas de ingeniería social mucho más convincentes.
Para un propietario de criptomonedas, revelar posteriormente su frase semilla debido a uno de estos ataques sí puede provocar la pérdida irreversible de los fondos.
Por eso la protección de la información relacionada con propietarios de hardware wallets constituye también una parte importante de la seguridad del ecosistema.
Ledger también se ha enfrentado a vulnerabilidades relacionadas con aplicaciones
Los riesgos no se limitan a filtraciones de información personal.
En junio, Zilliqa alertó sobre una vulnerabilidad relacionada con su aplicación para dispositivos Ledger.
Según la advertencia, determinadas condiciones podían permitir que un atacante recuperara claves privadas utilizando información disponible públicamente onchain.
El episodio volvió a demostrar que la seguridad de una hardware wallet depende de múltiples componentes: dispositivo, firmware, aplicaciones, integraciones blockchain y procedimientos utilizados para firmar transacciones.
Una vulnerabilidad en cualquiera de esas capas puede introducir riesgos incluso aunque el hardware principal no haya sido comprometido.
La regulación puede cambiar cómo se gestionan los fallos de seguridad
Hasta ahora, la publicación de vulnerabilidades dentro del sector cripto podía variar considerablemente entre fabricantes.
Algunas compañías podían revelar rápidamente el problema, mientras otras esperaban hasta disponer de un parche o hasta completar una investigación interna.
Las nuevas obligaciones europeas reducen el margen para retrasar determinadas notificaciones cuando se cumplen las condiciones establecidas por la CRA.
Esto obligará a los fabricantes afectados a desarrollar procedimientos internos capaces de detectar, clasificar, documentar y comunicar vulnerabilidades rápidamente.
Para compañías internacionales, también significará coordinar equipos técnicos, jurídicos y regulatorios en periodos extremadamente cortos.
La CRA va mucho más allá de las criptomonedas
Aunque el impacto sobre las billeteras cripto resulta especialmente relevante para el sector, la Ley de Resiliencia Cibernética tiene un alcance mucho mayor.
La legislación cubre ampliamente productos conectados y software comercializados en la Unión Europea.
El objetivo es establecer requisitos comunes de ciberseguridad para fabricantes y otros operadores económicos responsables de productos digitales.
Esto convierte la seguridad informática en una obligación regulatoria mucho más explícita, en lugar de depender exclusivamente de las políticas internas de cada compañía.
Europa construye otra capa regulatoria alrededor del mercado cripto
Para las compañías de activos digitales, la CRA se suma a un entorno europeo que ya incluye MiCA y diferentes obligaciones relacionadas con protección de datos, prevención del blanqueo de capitales y servicios financieros.
Sin embargo, las normas cumplen funciones diferentes.
MiCA regula principalmente determinados criptoactivos y proveedores de servicios relacionados con ellos, mientras la CRA establece obligaciones de ciberseguridad para productos con elementos digitales.
Por tanto, una empresa del sector puede encontrarse sometida simultáneamente a diferentes marcos dependiendo de los productos y servicios que comercialice.
El plazo de 24 horas aumenta la presión sobre los fabricantes
Para fabricantes de billeteras como Trezor, Ledger, BitBox y otros proveedores que comercializan productos dentro de la UE, la regulación aumenta la importancia de disponer de sistemas capaces de responder inmediatamente ante una vulnerabilidad relevante.
El desafío ya no será solamente solucionar el problema.
También deberán identificar rápidamente si activa una obligación regulatoria, informar dentro del plazo correspondiente y posteriormente documentar las medidas adoptadas.
En una industria donde una vulnerabilidad puede poner millones de dólares en activos digitales en riesgo en cuestión de minutos, la UE pretende que la respuesta regulatoria avance prácticamente a la misma velocidad que la amenaza.
