该义务源于条例（EU）2024/2847，即《网络弹性法案》，这是一个横向的产品网络安全框架，而非特定于加密的法规。根据欧盟委员会的报告页面，制造商报告义务从2026年9月11日起适用。相关报道，请参阅Strive Bitcoin Holdings在3660万美元购买后持有25,000枚BTC。
欧盟报告的24小时漏洞利用报告截止日期意味着什么
24小时阶段是早期预警，而非修复截止日期。受监管的制造商必须在得知存在被积极利用的漏洞或影响带有数字元素产品安全性的严重事件后的24小时内向当局发出警报。相关报道，请参阅KULR出售其剩余的764枚比特币。
CRA早期预警截止日期
24小时
更完整的通知将在得知后的72小时内发出。24小时和72小时的计时均从制造商得知的那一刻开始，而不是从漏洞修补的那一刻开始。
CRA完整通知截止日期
72小时
随后，分阶段的时间表因事件类型而异。对于被积极利用的漏洞，最终报告应在纠正措施可用后不超过14天内提交；对于严重事件，最终报告应在72小时通知后一个月内提交。
制造商通过CRA单一报告平台进行一次申报，欧盟委员会表示该平台于2026年9月11日投入运营。该通知发送给制造商主要办事机构所在地的计算机安全事件响应团队（CSIRT），并通常同时提供给欧盟网络安全机构ENISA。
哪些加密钱包制造商将被涵盖？
欧盟委员会的材料确立了通用的产品范围，但未明确点名加密钱包。一个聚合器提示将该规则描述为涵盖所有加密钱包制造商，但这种全面覆盖尚未得到证实，不应视为既定事实。
根据欧盟委员会服务的立法摘要，当产品在联盟市场上提供，且其预期或合理可预见的使用包括与设备或网络的直接或间接逻辑或物理数据连接时，该产品即在范围内，正如解释性摘要所述。
商业供应是关键。摘要将“在市场上提供”定义为在商业活动过程中进行的供应，无论付费与否，并指出非商业供应的产品不属于CRA范围。这一区别对于比特币钱包开发中常见的志愿者驱动、开源模式至关重要。
硬件钱包、软件钱包和托管钱包服务是否面临相同的待遇，所获取的材料并未解决，且立法文本附件III的分类无法独立验证。开源软件维护者获得了一个不同的起始日期：其第24(3)条的报告义务仅从2027年12月11日起适用。这是关于角色和门槛的辩论，也笼罩着其他待定的欧盟和美国措施，从MiCA的实施到《CLARITY法案》提出的市场结构问题。
对受监管制造商的报告义务并非对个别钱包用户的义务。该规则中没有任何内容要求仅持有或运行钱包的人采取行动。
钱包制造商和用户接下来应关注什么
已确认的锚点是时间。《网络弹性法案》于2024年12月10日生效，制造商报告义务从2026年9月11日起适用，法案的主要义务从2027年12月11日起适用，根据欧盟委员会的政策概述。
遗留产品不免除报告层义务。欧盟委员会服务的摘要表示，报告义务也适用于在2027年12月11日之前已投放联盟市场的产品，这意味着现有的钱包产品线可能会在主要合规日期之前很久就触发申报。
确定报告所有权、事件升级路径和报告渠道准备情况是任何认定自身为受监管制造商的实体的准备考虑因素；此处为编辑框架，并非规则为每位开发者规定的义务。申报本身并不意味着钱包被攻破或用户资金面临风险。
对于比特币持有者而言，近期的信号是监管层面的，而非链上的。比特币交易价格约为77,061美元，24小时内下跌约0.9%，更广泛的恐惧与贪婪指数为69，即“贪婪”，这两个数字均未反映对报告规则的任何可测量的反应。这一宏观背景伴随着繁忙的政策日历，其中包括央行利率决策和周期性推动数字资产市场的立法催化剂。
比特币面临的更深层次问题是架构性的。其安全模型依赖于由 largely 无偿贡献者维护的分布式、可审计的开源软件，CRA对开源维护者的豁免时间，而非24小时时钟本身，将决定该基础有多少部分落入该制度内。这一根本因素，而非任何单一截止日期，定义了网络对产品网络安全法的暴露程度。
免责声明：本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场存在重大风险。在做出决定之前，请务必自行研究。
Bitcoininfonews首次发表了题为《欧盟加密钱包制造商24小时漏洞利用报告截止日期》的文章。