Les portefeuilles matériels ont connu une année bien remplie. Le bogue de génération de seed de Coldcard, la vulnérabilité du puce TROPIC01 de Trezor, et des années de recherche sur les attaques par canaux auxiliaires et physiques ont montré à quel point la sécurité matérielle est profonde. Nous sommes en direct avec @Tangem pour discuter de sécurité, de auto-gestion, de portefeuilles matériels et de ce qu’il faut réellement pour protéger les actifs des utilisateurs. Rejoignez-nous 👇

Quatre fuites de données clients de portefeuilles matériels cette année. Trois d'entre elles seulement au cours des deux dernières semaines.

Pendant 86 minutes, arrayref dépendait d'une crate dont le script de compilation téléchargeait un binaire et l'exécutait pendant la compilation. libsecp256k1, schnorrkel et ledger-apdu utilisent tous ^0.3. 2 285 téléchargements durant cette période. Le registre compte les fetches, pas les compilations, donc je ne sais pas ce que signifie ce chiffre.

Vérifier uniquement les 4 premiers et les 4 derniers caractères d’une adresse wallet n’est plus suffisant. Dans ce cas d’empoisonnement d’adresse, un utilisateur a d’abord envoyé 100 USDT à titre de test. L’attaquant a ensuite généré une adresse similaire et envoyé 1,01 USDT à la victime — uniquement pour insérer l’adresse falsifiée dans son historique de transactions. Quelques minutes plus tard, la mauvaise adresse a été copiée. Environ 2,5 M USDT ont disparu. Aucune clé privée n’a été volée. Aucun wallet n’a été piraté. Une simple confusion entre deux adresses a suffi. C’est pourquoi la vérification des transactions est essentielle : vérifiez une partie plus longue de l’adresse, confirmez sur l’appareil, et ne copiez jamais aveuglément depuis l’historique des transactions. La sécurité doit protéger la décision — pas seulement la clé. #UnionKey #CryptoSecurity #AddressPoisoning #SelfCustody

Mises à jour étendues de Sparrow Wallet. À la suite de l'événement Coldcard, il y a probablement eu une vague importante de rapports générés par l'IA. Pour se préparer aux futures attaques par IA, Craig Raw lui-même a effectué un audit complet de l'ensemble du système et a pris des mesures proactives là où cela était nécessaire. « N'envoyez pas n'importe quelle "vulnérabilité" que vous ne comprenez pas. »