Criadores de carteiras cripto devem reportar falhas exploradas a reguladores em 24 horas

Criadores de carteiras de criptomoedas agora são obrigados a reportar vulnerabilidades exploradas a reguladores dentro de 24 horas, sob uma nova regra de notificação em três etapas. A exigência substitui normas anteriores voluntárias ou com prazos mais flexíveis, estabelecendo uma obrigação vinculante que se aplica no momento em que uma falha na carteira é ativamente explorada. O relógio de 24 horas começa quando o criador da carteira toma conhecimento da exploração, não quando a vulnerabilidade é descoberta ou quando um patch é desenvolvido. Essa mudança marca um afastamento significativo da prática anterior do setor, em que muitos desenvolvedores divulgavam vulnerabilidades apenas após a correção ou em um cronograma discricionário.

O processo de notificação em três etapas estrutura a obrigação de divulgação em fases distintas, com requisitos específicos em cada uma. A primeira etapa é o alerta inicial, que deve ser apresentado dentro da janela de 24 horas e incluir uma descrição básica da falha explorada, o produto de carteira afetado e o número estimado de usuários impactados. A segunda etapa é o relatório técnico detalhado, devido em até 72 horas após o alerta inicial, exigindo uma análise abrangente da causa raiz da vulnerabilidade, do vetor de ataque utilizado, do contrato inteligente ou componente de código envolvido e do escopo total de fundos ou dados comprometidos. A terceira etapa é a confirmação de remediação de acompanhamento, que deve ser submetida após a implantação da correção, documentando os detalhes do patch, o cronograma da resposta e qualquer risco residual remanescente.

A obrigação de notificação em 24 horas é acionada apenas por falhas graves exploradas, não por todas as vulnerabilidades descobertas. Eventos qualificados incluem explorações que resultam em roubo de fundos, comprometimento de chaves privadas, bugs em contratos inteligentes ativamente explorados on-chain e qualquer vulnerabilidade que permita acesso não autorizado a carteiras ou frases-semente de usuários. A regra cobre todos os tipos de carteira, incluindo carteiras de software, carteiras de hardware, carteiras de extensão de navegador e plataformas de carteiras de custódia. Uma vulnerabilidade descoberta, mas ainda não explorada, não aciona o relógio de 24 horas, embora a regra incentive a divulgação voluntária nesses casos.

O não cumprimento da regra de notificação em 24 horas acarreta penalidades progressivas projetadas para garantir adesão estrita. Multas por não apresentar o alerta inicial dentro de 24 horas começam em um nível base e aumentam com base na gravidade da exploração e no número de usuários afetados. Violações repetidas podem resultar em suspensão de licença para criadores de carteiras que operam sob licenças estaduais de transmissão de dinheiro ou outras aprovações regulatórias. Em casos em que a divulgação atrasada resulta em perdas adicionais para usuários, os reguladores podem buscar ação legal, incluindo penalidades civis e possível encaminhamento criminal por ocultação deliberada.