EU域内でハードウェアまたはソフトウェア製品を販売する仮想通貨ウォレットメーカーは、サイバーレジリエンス法（CRA）に基づくインシデント報告義務の対象となった。企業は、悪用が進行中の脆弱性や重大なセキュリティ問題を把握してから24時間以内に初期警告を送り、その後72時間以内に正式な報告書を提出しなければならない。修正または緩和策の導入後14日以内に最終報告書を提出する必要があり、重大なセキュリティインシデントについては1カ月以内に最終報告書を提出する。第13条と第14条に違反した場合、最大1500万ユーロ（1730万ドル）または世界年間売上高の2.5％のいずれか高い方に相当する罰金が科される可能性があり、不正確または不完全な提出には最大500万ユーロの罰金が科される可能性がある。規則は2026年9月11日に施行され、2027年12月11日に予定される、より広範なCRAのセキュリティー・バイ・デザインと認証義務に先行する。施行は、ウォレットを巡る最近のセキュリティー懸念を受けたものだ。これには、ShipMonkのデータ侵害によって米国の6万7000人の顧客がさらなるリスクにさらされたとトレザーが明らかにしたこと、トレザーとBitBoxによるフィッシングへの警告、Ledgerのアプリの欠陥によって秘密鍵が露出する可能性があるとのZilliqaの警告が含まれる。