ハードウェアウォレットは、非常に充実した一年でした。 Coldcardのシード生成バグ、TrezorのTROPIC01チップの脆弱性、そして長年にわたるサイドチャネル攻撃や物理的攻撃の研究は、ハードウェアセキュリティがいかに深く複雑であるかを示しています。 現在、@Tangemと共同で、セキュリティ、セルフカスタディ、ハードウェアウォレット、そしてユーザーの資産を安全に保つために実際に何が必要なのかについて語っています。 ぜひご参加ください 👇

今年だけで4件のハードウェアウォレット顧客データ漏洩。そのうち3件は過去2週間だけで発生しました。

86分間、arrayrefはビルドスクリプトがバイナリを取得してコンパイル中に実行するクレートに依存していました。libsecp256k1、schnorrkel、ledger-apduはすべて^0.3を要求しています。 その期間中に2,285回のダウンロードがありました。レジストリはビルドではなくフェッチをカウントしているため、この数値の意味はわかりません。

ウォレットアドレスの先頭4文字と末尾4文字だけを確認するだけでは十分ではありません。 このアドレスポイズニング事例では、ユーザーがまずテストとして100 USDTを送金しました。 攻撃者はその後、似たようなアドレスを生成し、被害者に1.01 USDTを送金して、偽のアドレスを取引履歴に残しました。 数分後、間違ったアドレスがコピーされました。 約250万USDTが消失しました。 秘密鍵は盗まれていません。 ウォレットはハッキングされていません。 ただ1つのアドレスが別のアドレスと誤認されただけです。 これが取引確認が重要な理由です：アドレスのより多くの部分を確認し、デバイス上で検証し、取引履歴から盲目的にコピーしないでください。 セキュリティは鍵だけでなく、意思決定を守るべきです。 #UnionKey #CryptoSecurity #AddressPoisoning #SelfCustody

Sparrow Walletの広範囲にわたるアップデート。 Coldcard事件を受けて、おそらくAI生成の報告が大量にあったのだろう。今後のAIによる攻撃に備えて、Craig Raw自身が全域の自己点検、必要な箇所に先回りでしっかり手を入れた形。 「自分が理解してない"脆弱性"を何でもかんでも送ってくんな。」とも。