Ledger:Coldcard漏洞损失已达约1.3亿美元,硬件钱包安全需适应AI
相关推荐
Ledger CTO:仅约30% BTC面临量子风险说法存疑
Odaily星球日报讯 Ledger CTO Charles Guillemet 表示,认为只有约 30% BTC 面临量子计算风险、其余约 70% 因公钥哈希保护而安全的观点存在问题。Glassnode 此前数据显示,目前约 30.2% 的 BTC 已在链上暴露支出公钥,但 Guillemet 指出,这仅衡量链上静止状态,未暴露的公钥仍可能存在于 xpub、设备、PSBT、日志或备份等位置;同时 BTC 一旦发起交易,公钥便会在交易确认前公开。 Guillemet 援引 Google Quantum AI 研究称,在目前尚不存在的高速量子计算机假设下,针对 secp256k1 的相关攻击可在约 9 分钟内完成,因此仅通过隐藏公钥并不能解决量子风险,比特币最终仍需迁移至后量子密码学。
涉及超1800枚BTC被盗,Coinkite CTO被指曾提前一年忽视RNG代码警告
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示,新证据显示,编写 LibNgU 代码的匿名 switck 账号可能实际为 Coinkite 联合创始人兼 CTO Peter Gray,该代码处于 COLDCARD 熵故障事件核心。 研究人员称,Gray 的 GPG 密钥签署了数十次 switck 提交,另有其他标识符似乎将两个身份关联起来。 比特币开发者 James O’Beirne 表示,他曾于 2025 年 5 月警告 Coinkite,LibNgU 的 RNG 实现看起来可疑,并建议移除该实现,但他称对方回应称如存在问题应已被发现。 截图还显示,早在 2021 年 4 月,已有用户对 LibNgU 重写提出质疑。 如果这些发现准确,则意味着引入该代码的工程师后来与超 1800 枚 BTC 被盗事件相关,并且在漏洞公开披露一年多前已收到关于 RNG 实现的直接警告。
Ledger CTO 呼吁硬件钱包行业坚持负责任漏洞披露流程,警惕「博眼球式」曝光
Foresight News 消息,Ledger 首席技术官 Charles Guillemet 发文表示,AI 大幅降低了发现漏洞的门槛,但攻防双方的不对称优势已被削弱,负责任披露流程(私下联系厂商、约定修复期限、共同公开)因此更为重要。他批评部分行为者绕过该流程直接博眼球,包括将已修复漏洞包装成「正在发生的入侵」、提前披露未修复漏洞细节、发布预告式爆料吸引关注,称此类行为是「拿他人风险博流量」,即便无实际资金损失,制造恐慌也会促使用户放弃自托管。他呼吁用户保持软件更新与基本安全习惯,研究员应通过厂商既定渠道披露漏洞,行业应共同将协同披露作为准则并抵制博关注度行为。Ledger、Trezor、Foundation Devices、AnchorWatch、SEAL 等多家机构已表态支持将协同披露作为行业公开维护的准则。
Ledger CTO回应「漏洞」FUD:问题曝出前已修复,用户及时更新即可安全使用
BlockBeats 消息,8 月 27 日,硬件钱包厂商 Ledger 首席技术官 Charles Guillemet 发文表示,近期市场上出现针对 Ledger 的「FUD」,一家智能合约安全公司声称发现 Ledger 以太坊应用存在漏洞。Guillemet 表示,Ledger 以太坊应用此前确实存在与部分 Clear Signing 流程相关的漏洞,但该漏洞已由 Ledger 旗下安全研究团队 Donjon 通过 AI 驱动的漏洞研究工具发现,并已于两周前完成修复和部署。用户只要及时更新 Ledger 设备固件及应用,即可获得保护。 相关安全公司是在 Ledger 完成修复后才联系其漏洞赏金计划,并未遵循负责任披露流程,甚至没有与漏洞赏金团队进行沟通,却在随后发布内容时暗示该问题仍未得到解决。这种做法并非真正的安全研究,而是在制造恐慌以获取关注。AI 正在改变网络安全格局,攻击者和防御者都可以借助 AI 提升效率,而 AI 驱动的安全研究只有在遵循负责任披露、发布前核实等基本安全原则的情况下,才能真正提升整个生态的安全性。 Guillemet 最后提醒 Ledger 用户,保持设备固件、Ledger 应用以及相关软件处于最新版本,即可自动获得最新的安全修复和研究成果。用户无需受到相关「FUD」影响,及时更新软件并保持安全习惯即可。
Coldcard事件后BitBox信用卡支付销量约增至10倍,Trezor与OneKey销量上升
Odaily星球日报讯 硬件钱包厂商 BitBox 表示,8 月信用卡支付销量较此前数周基线约增长 10 倍,增量主要来自北美;Trezor 和 OneKey 也确认同期销量上升,但均未披露具体数据。 Trezor、BitBox 和 OneKey 均重新审查了助记词生成、随机数生成器、熵及固件验证流程。Trezor 计划开展核心固件功能渗透测试,并公开相关安全审计报告;OneKey 将加强安全关键代码路径和交易签名流程审查。 Ledger CTO Charles Guillemet 表示,AI 辅助攻击使补丁发布、漏洞披露和用户教育需要加快。Blockstream Jade 已发布包含多项修复的固件更新,并建议用户同步更新应用、操作系统、设备、路由器及家用电器。(Bitcoin.com News)
Ledger CTO 回应漏洞传言:Bug 已于两周前修复
Foresight News 消息,硬件钱包公司 Ledger 首席技术官 Charles Guillemet 发推回应近期关于「Ledger 以太坊应用漏洞的传言」表示,此前确实存在一个涉及特定清签流程的 Bug,该问题由 Ledger 安全团队 Donjon 使用 AI 漏洞研究工具发现,并已于两周前修复并部署。用户只需保持 Ledger 应用更新,即已受保护。 相关「智能合约安全公司」在修复上线后才联系团队赏金计划,且未遵循负责任披露原则,随后发布帖文暗示问题仍未解决。其批评此举是制造恐慌以博取关注,而非真正的安全研究。