Coldcard事件后BitBox信用卡支付销量约增至10倍,Trezor与OneKey销量上升
相关推荐
Ledger CTO:仅约30% BTC面临量子风险说法存疑
Odaily星球日报讯 Ledger CTO Charles Guillemet 表示,认为只有约 30% BTC 面临量子计算风险、其余约 70% 因公钥哈希保护而安全的观点存在问题。Glassnode 此前数据显示,目前约 30.2% 的 BTC 已在链上暴露支出公钥,但 Guillemet 指出,这仅衡量链上静止状态,未暴露的公钥仍可能存在于 xpub、设备、PSBT、日志或备份等位置;同时 BTC 一旦发起交易,公钥便会在交易确认前公开。 Guillemet 援引 Google Quantum AI 研究称,在目前尚不存在的高速量子计算机假设下,针对 secp256k1 的相关攻击可在约 9 分钟内完成,因此仅通过隐藏公钥并不能解决量子风险,比特币最终仍需迁移至后量子密码学。
Ledger 与 Trezor 呼吁负责任披露安全漏洞
火星财经消息,硬件钱包制造商 Ledger 与 Trezor 呼吁安全研究人员采取更负责任的漏洞披露方式。Ledger 首席技术官 Charles Guillemet 在 X 平台发文称,人工智能使漏洞更容易被发现和利用,但部分研究人员在修复方案发布前就公开细节,他将这种做法称为“利用他人风险博取关注”。Guillemet 敦促研究人员先私下报告漏洞,并就修复时间表达成一致后再公开细节,他以 90 天作为常见默认期限,同时表示可根据漏洞严重程度和修复所需工作量灵活调整。Trezor 安全主管 Jan Komárek 对 Cointelegraph 表示,90 天是对厂商的承诺,而不仅仅是研究人员的义务。他建议研究人员先联系厂商、商定时间表,若厂商未能在该期限内完成修复,则可选择公开披露。此番表态的背景是硬件钱包安全性近期受到密切关注:Coldcard 被盗事件涉及金额超过 1 亿美元,Trezor 的物流供应商数据泄露也影响了数万名客户的个人信息。
Trezor与BitBox电子邮件基础设施疑似遭入侵
Odaily星球日报讯 Strive 副总裁 Joe Burnett 在 X 平台发文表示,Trezor 与 BitBox 的电子邮件基础设施疑似遭入侵,比特币强化阶段仍在继续。
Ledger CTO 呼吁硬件钱包行业坚持负责任漏洞披露流程,警惕「博眼球式」曝光
Foresight News 消息,Ledger 首席技术官 Charles Guillemet 发文表示,AI 大幅降低了发现漏洞的门槛,但攻防双方的不对称优势已被削弱,负责任披露流程(私下联系厂商、约定修复期限、共同公开)因此更为重要。他批评部分行为者绕过该流程直接博眼球,包括将已修复漏洞包装成「正在发生的入侵」、提前披露未修复漏洞细节、发布预告式爆料吸引关注,称此类行为是「拿他人风险博流量」,即便无实际资金损失,制造恐慌也会促使用户放弃自托管。他呼吁用户保持软件更新与基本安全习惯,研究员应通过厂商既定渠道披露漏洞,行业应共同将协同披露作为准则并抵制博关注度行为。Ledger、Trezor、Foundation Devices、AnchorWatch、SEAL 等多家机构已表态支持将协同披露作为行业公开维护的准则。
OneKey安全团队复现Ledger漏洞,被攻击用户或出现批准与实际执行交易不符情况
火星财经消息,8 月 28 日,OneKey 安全团队 OneKey Anzen 近日针对 TestMachine 爆料的 Ledger 漏洞进行复现,发现 Ledger 以太坊应用 1.22.1 版本存在交易替换漏洞。被攻击用户的硬件屏幕上仍显示用户正在审核的 A 交易,设备却可能签下用户从未看到的 B 交易。 OneKey Anzen 表示,该问题本质是交易显示逻辑与底层缓冲区之间的竞态条件;攻击前提是主机侧已被恶意 dApp 或中间软件控制。 8 月 22 日,TestMachine 指出知名加密钱包 Ledger 存在安全漏洞。Ledger CTO 次日回应称漏洞修复已在约两周前上线,更新应用即可,建议社区「不要制造恐慌」。但公开信息显示,Ledger GitHub 上 1.22.2 版本的正式标签直到 8 月 24 日才出现。 截止发稿,Ledger 在其官网更新最新动态。表示已通过应用级校验和 SDK 层修复该问题,并于 8 月 21 日发布 Ledger Secure SDK v26.6.1,相关应用已重新构建并发布。用户需通过 Ledger Live 更新应用,仅更新设备固件不足以完成修复。不过,Ledger 称目前没有证据显示该漏洞已被实际利用。
OneKey推出硬件钱包主板照片自测网站「一石鉴包」
Odaily星球日报讯 OneKey 创始人 Yishi 在 X 平台发文表示,Ledger 植入事件曝光后,OneKey 开发并出资推出硬件钱包鉴定网站 "一石鉴包 "。用户可拆开设备并上传主板照片,照片经浏览器缩小至不超过 2048 像素并去除 GPS 位置等元数据后,将由 Claude 视觉模型分析主板与设备型号是否匹配、主芯片型号及可见文字,并识别额外芯片、模块、天线和飞线等异常;最终结果由固定规则判定,检测结果包括「不烧心」「很烧心」或提示重新拍摄。该工具对 Ledger、OneKey 和 Trezor 采用统一规则,不推荐更换品牌且不设置广告,但 OneKey 指南中的商店链接含推荐返佣码并会明确标注。Yishi 表示,检测结果仅供参考,无法检查固件、软件、芯片内部及屏蔽罩、屏幕或电池下方部件,也无法区分丝印相同的仿冒芯片,官方检查和联系设备厂商客服仍是必要步骤。