تسريب بيانات "ريفولوت" يدفع الاتحاد الأوروبي لتشديد قواعد أمن المحافظ الرقمية

تواجه الشركات المزودة لخدمات محافظ العملات الرقمية والعاملة في الاتحاد الأوروبي متطلبات أكثر صرامة في مجال الأمن السيبراني، بموجب قواعد جديدة تلزمها بالإبلاغ عن الثغرات الأمنية المستغلة فعلياً خلال ساعات من اكتشافها.

ودخلت هذه المتطلبات حيز التنفيذ يوم الجمعة بموجب "قانون المرونة السيبرانية" (CRA) الصادر عن الاتحاد الأوروبي، والذي يفرض إطاراً موحداً للأمن السيبراني على المنتجات التي تحتوي على عناصر رقمية، سواء جرى بيعها أو إتاحتها داخل التكتل.

وبالنسبة إلى الشركات المصنعة لمحافظ العملات الرقمية، سواء كانت أجهزة مادية أو برمجيات، تفرض القواعد جدولاً زمنياً صارماً للإبلاغ عن الحوادث. إذ يتعين تقديم تحذير أولي بشأن أي ثغرة أمنية خطيرة خلال 24 ساعة من اكتشافها، يليه إشعار أكثر تفصيلاً خلال 72 ساعة.

وتقول المفوضية الأوروبية إن هذه التدابير تهدف إلى تعزيز حماية المستهلكين والشركات من التهديدات السيبرانية، في وقت تتزايد فيه المخاطر المرتبطة بالمنتجات والخدمات الرقمية.

محافظ العملات الرقمية تواجه مواعيد نهائية صارمة للإبلاغ عن الثغرات

يحدد قانون المرونة السيبرانية عدة مراحل للإبلاغ عن الحوادث والثغرات الأمنية الخطيرة.

فبمجرد علم الشركة بوجود ثغرة يجري استغلالها فعلياً أو مشكلة أمنية جسيمة، يكون أمامها 24 ساعة لتقديم تحذير مبكر، على أن يتبعه إشعار أكثر شمولاً خلال 72 ساعة.

كما يتعين تقديم تقرير نهائي بعد 14 يوماً من توفر التدابير التصحيحية أو إجراءات الحد من المخاطر. أما في حالات الحوادث الخطيرة للغاية، فيجب تقديم الإشعار النهائي خلال شهر واحد.

وتنطبق هذه المتطلبات على نطاق واسع على المنتجات التي تحتوي على عناصر رقمية والمتاحة في أسواق الاتحاد الأوروبي، ما يعني أن تأثيرها يتجاوز محافظ العملات الرقمية ليشمل مجموعة واسعة من الأجهزة والبرمجيات المتصلة بالشبكة.

ومع ذلك، تكتسب هذه المواعيد أهمية خاصة بالنسبة إلى شركات المحافظ، نظراً إلى التداعيات المحتملة للثغرات الأمنية على المستخدمين الذين يحتفظون بأصول رقمية عبر هذه المنتجات.

عدم الامتثال قد يكلف شركات العملات الرقمية ملايين اليوروهات

وقد تكون العواقب المالية لعدم الامتثال جسيمة، إذ تنص قواعد قانون المرونة السيبرانية على غرامات إدارية تصل إلى 15 مليون يورو، أو ما يعادل 2.5% من إجمالي الإيرادات السنوية العالمية للشركة، أيهما أعلى.

كما قد يؤدي تقديم معلومات غير صحيحة أو ناقصة أو مضللة إلى غرامات تصل إلى 5 ملايين يورو.

وبالتالي، ترتفع المخاطر أمام شركات محافظ العملات الرقمية، التي سيتعين عليها اكتشاف الثغرات الخطيرة بسرعة، وتحديد ما إذا كانت تستوجب الإبلاغ، ثم تزويد الجهات التنظيمية بالمعلومات المطلوبة ضمن مواعيد نهائية محددة.

ولا تقتصر تداعيات ذلك على فرق الأمن السيبراني، بل تجعل الإبلاغ عن الحوادث جزءاً أساسياً من العمليات التشغيلية للمنتج. فبدلاً من التعامل مع الثغرات باعتبارها مشكلات تقنية داخلية فقط، ستحتاج الشركات إلى دمج متطلبات الإفصاح التنظيمي في آليات الاستجابة للحوادث منذ اللحظة الأولى لاكتشاف المشكلة.

حوادث محافظ العملات الرقمية تزيد إلحاح متطلبات الأمن السيبراني

هذا وتأتي المتطلبات الأوروبية الجديدة وسط سلسلة من حوادث الأمن السيبراني التي طالت مزودي محافظ العملات الرقمية ومستخدميها.

فقد كشفت شركة Trezor، المصنعة لمحافظ الأجهزة، في وقت سابق من هذا الشهر أن 67 ألف عميل أميركي إضافي قد يكونون عرضة للخطر بعد اختراق بيانات لدى شركة الشحن التابعة لها ShipMonk، وهو رقم تجاوز بكثير تقدير الشركة الأولي البالغ 14 ألف مستخدم متضرر.

وحذرت Trezor وBitBox لاحقاً عملاءهما من رسائل بريد إلكتروني تصيدية تنتحل صفة تنبيهات أمنية عاجلة، بعد الاشتباه في اختراقات طالت خدمات بريد إلكتروني تابعة لجهات خارجية.

وفي حادثة أخرى، كشفت شبكة Zilliqa في يونيو عن ثغرة أمنية في تطبيق Ledger الخاص بها، كان من الممكن أن تسمح للمهاجمين باستعادة المفاتيح الخاصة للمستخدمين بالاعتماد على معلومات متاحة للعامة على شبكة البلوكتشين.

وتوضح هذه الحوادث أن مخاطر الأمن السيبراني لا تقتصر بالضرورة على البرمجيات الأساسية للمحفظة. فقد تنشأ نقاط الضعف أيضاً لدى الموردين أو أنظمة الاتصالات أو الخدمات المرتبطة بالمحفظة، ما قد يعرض بيانات المستخدمين وأصولهم الرقمية للخطر.

تسريب بيانات "ريفولوت" يسلط الضوء على مخاطر إجراءات اعرف عميلك

وفي سياق أوسع، شهد قطاع التكنولوجيا المالية مؤخراً حادثة تتعلق بأمن بيانات العملاء، ما يسلط الضوء على المخاطر المرتبطة بالمعلومات الحساسة التي تجمعها المؤسسات المالية.

وكشفت شركة "ريفولوت" أن طرفاً غير مصرح له تمكن من الوصول إلى بيانات حساسة لعملاء بعد تقديم طلبات احتيالية للحصول على معلومات، مستخدماً عنوان بريد إلكتروني تابعاً لنطاق جهة حكومية رسمية.

وأشارت التقارير إلى أن البيانات المكشوفة شملت نسخاً من جوازات السفر، وصوراً شخصية للتحقق من الهوية، وسجلات كاملة للمعاملات المالية لعدد محدود من العملاء.

ووفقاً للشركة، اجتازت الطلبات الاحتيالية فحوصات المصادقة الخاصة بها قبل أن تكتشف أنها غير حقيقية.

وعقب اكتشاف الحادثة، حظرت "ريفولوت" عنوان البريد الإلكتروني المعني، وأبلغت الجهة الحكومية المختصة، كما أخطرت سلطات إنفاذ القانون والجهات التنظيمية المالية. وأكدت الشركة أن أنظمتها وأموال عملائها لم تتأثر، وأنها تواصلت مباشرة مع العملاء المتضررين.

وفي السياق نفسه، وصف المحقق المتخصص في العملات الرقمية ZachXBT الحادثة بأنها محدودة النطاق، مرجحاً أن يكون أفراد من ذوي الملاءة المالية العالية هم المستهدفون.

قواعد الاتحاد الأوروبي ترفع معايير أمن محافظ العملات الرقمية

وتسلط حادثة "ريفولوت" الضوء على جانب آخر من تحديات الأمن السيبراني. فحتى عندما تظل الأنظمة المالية الأساسية وأموال العملاء آمنة، فإن كشف بيانات الهوية وسجلات المعاملات قد يخلق مخاطر كبيرة على المستخدمين.

وتكتسب هذه المسألة أهمية أكبر بالنسبة إلى شركات العملات الرقمية، في ظل توسع المتطلبات التنظيمية المتعلقة بالامتثال وحماية البيانات والأمن السيبراني.

ولا يستهدف قانون المرونة السيبرانية العملات الرقمية بشكل محدد، بل يفرض التزامات أمن سيبراني على المنتجات التي تحتوي على مكونات رقمية. وتندرج محافظ العملات الرقمية ضمن هذا الإطار الأوسع، نظراً إلى أنها تجمع بين البرمجيات والأجهزة والاتصال بأنظمة يمكن أن تؤثر مباشرة على قدرة المستخدمين على الوصول إلى أصولهم الرقمية.

وبناءً على ذلك، قد يصبح شرط الإبلاغ خلال 24 ساعة اختباراً حقيقياً لقدرة شركات المحافظ على اكتشاف الثغرات الأمنية الخطيرة وتقييمها والإفصاح عنها بسرعة.

الأمن السيبراني يتحول إلى التزام تنظيمي أساسي

بالنسبة إلى قطاع العملات الرقمية، تعكس هذه القواعد تحولاً أوسع في التعامل مع الأمن السيبراني، الذي لم يعد مجرد أولوية تقنية في تطوير المنتجات، بل أصبح جزءاً من الالتزامات التنظيمية للشركات.

ومع تشدد متطلبات الإبلاغ، ستحتاج شركات المحافظ إلى تطوير أنظمة أسرع لرصد الثغرات وتقييمها والاستجابة لها، إلى جانب وضع إجراءات واضحة للتواصل مع الجهات التنظيمية والمستخدمين عند وقوع الحوادث.

ويعني ذلك أن المنافسة في سوق محافظ العملات الرقمية لن تعتمد فقط على سهولة الاستخدام أو حماية المفاتيح الخاصة، بل ستشمل أيضاً قدرة الشركات على بناء بنية أمنية وعمليات داخلية قادرة على التعامل مع المتطلبات التنظيمية المتسارعة.

وفي هذا السياق، قد يدفع قانون المرونة السيبرانية القطاع نحو نموذج أكثر نضجاً، تصبح فيه سرعة اكتشاف المخاطر والإفصاح عنها جزءاً من جودة المنتج نفسه. ومع اتساع الاعتماد على المحافظ للوصول إلى الأصول الرقمية، فإن تشديد قواعد الأمن السيبراني قد يعزز ثقة المستخدمين والمؤسسات، لكنه في المقابل سيرفع كلفة الامتثال ويزيد الفجوة بين الشركات القادرة على الاستثمار في البنية الأمنية المتقدمة وتلك التي تعتمد على أنظمة محدودة.