约23.3万枚比特币转移避险,Coldcard遭攻击后涉及约150亿美元
相关推荐
Ledger:Coldcard漏洞损失已达约1.3亿美元,硬件钱包安全需适应AI
Odaily星球日报讯 硬件钱包制造商 Ledger 表示,近期 Coldcard 漏洞显示硬件比特币钱包行业需重新评估安全模型。Ledger CTO Charles Guillemet 表示,Ledger 设备未受影响,其恢复短语由认证安全元件内置硬件随机数生成器生成。 Coldcard 制造商 Coinkite 上周披露,隔离式 Coldcard 比特币硬件钱包存在可追溯至 2021 年 3 月固件版本的漏洞。该漏洞使用软件回退机制生成钱包恢复种子,导致部分私钥可被猜测,相关损失已达约 1.3 亿美元。 Coinkite 已于周日发布修复固件,并敦促受影响用户将资金转移至新生成钱包。Charles Guillemet 表示,开源与经过审查不同,该缺陷在公开代码中存在超过五年,AI 正使攻击者能以机器速度扫描代码和识别漏洞。 Charles Guillemet 还表示,Ledger 过去两年已将 AI 与安全工程师、密码学专家结合,用于审查代码并识别漏洞。他认为,用户评估硬件钱包时应了解其随机性生成方式,以及该过程是否获得独立认证。
Ledger 与 Trezor 呼吁负责任披露安全漏洞
火星财经消息,硬件钱包制造商 Ledger 与 Trezor 呼吁安全研究人员采取更负责任的漏洞披露方式。Ledger 首席技术官 Charles Guillemet 在 X 平台发文称,人工智能使漏洞更容易被发现和利用,但部分研究人员在修复方案发布前就公开细节,他将这种做法称为“利用他人风险博取关注”。Guillemet 敦促研究人员先私下报告漏洞,并就修复时间表达成一致后再公开细节,他以 90 天作为常见默认期限,同时表示可根据漏洞严重程度和修复所需工作量灵活调整。Trezor 安全主管 Jan Komárek 对 Cointelegraph 表示,90 天是对厂商的承诺,而不仅仅是研究人员的义务。他建议研究人员先联系厂商、商定时间表,若厂商未能在该期限内完成修复,则可选择公开披露。此番表态的背景是硬件钱包安全性近期受到密切关注:Coldcard 被盗事件涉及金额超过 1 亿美元,Trezor 的物流供应商数据泄露也影响了数万名客户的个人信息。
Coldcard 熵漏洞暴露单签风险,多厂商多签成比特币托管新基线
ChainCatcher 消息,Coinkite 旗下硬件钱包 Coldcard 被曝存在严重熵漏洞,该漏洞自 2021 年起未被发现,导致超过 1 亿美元比特币被盗,受害者多为使用单一助记词钱包的用户。弱熵使得攻击者能够通过定制化手段猜测私钥,这一事件促使比特币社区重新审视单签自托管的可靠性。在此背景下,多厂商多签(Multi-vendor Multisig)方案正成为长期持有者推荐的新托管基线。该方案要求用户使用来自不同钱包厂商的密钥构建多签地址,例如 Trezor Safe 7、Ledger Nano 与 Casa 恢复密钥组成 2-of-3 多签,从而降低对单一硬件厂商的信任依赖。多签还能抵御扳手攻击,并催生了 AnchorWatch 等以 BTC 计价的比特币保险服务。不过多签也存在缺点,用户除需保管阈值密钥外,还需保存多签脚本或模板副本,以便在钱包服务离线时独立恢复资金。
Coldcard事件后BitBox信用卡支付销量约增至10倍,Trezor与OneKey销量上升
Odaily星球日报讯 硬件钱包厂商 BitBox 表示,8 月信用卡支付销量较此前数周基线约增长 10 倍,增量主要来自北美;Trezor 和 OneKey 也确认同期销量上升,但均未披露具体数据。 Trezor、BitBox 和 OneKey 均重新审查了助记词生成、随机数生成器、熵及固件验证流程。Trezor 计划开展核心固件功能渗透测试,并公开相关安全审计报告;OneKey 将加强安全关键代码路径和交易签名流程审查。 Ledger CTO Charles Guillemet 表示,AI 辅助攻击使补丁发布、漏洞披露和用户教育需要加快。Blockstream Jade 已发布包含多项修复的固件更新,并建议用户同步更新应用、操作系统、设备、路由器及家用电器。(Bitcoin.com News)
此前存在漏洞的助记词仍不安全,Coinkite发布Coldcard固件更新
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示,Coinkite 发布 Coldcard 新固件更新,以修复助记词安全问题。此前存在漏洞的助记词仍不安全,应予以更换。
Coldcard 制造商 Coinkite 因固件随机数漏洞在加拿大面临集体诉讼
Foresight News 消息,Coldcard 硬件钱包制造商 Coinkite 及其联合创始人 Rodolfo Novak 和 Peter D. Gray 在加拿大安大略省面临集体诉讼。诉讼指控 Coldcard 硬件钱包标准固件(约 2021 年 3 月起)存在根本缺陷,未使用真随机数生成器,而是依赖可预测的软件伪随机数生成器,导致助记词可被复现,使用户比特币易遭未授权访问。诉讼寻求集体认证,并主张 Coinkite 违反《消费者保护法》及《货物销售法》、过失、违约等,要求赔偿。