Ledger e Trezor solicitam divulgação responsável de vulnerabilidades de segurança

ChainCatcher relata que o fabricante de carteiras de hardware Ledger e o Trezor pedem aos pesquisadores de segurança que adotem uma abordagem mais responsável na divulgação de vulnerabilidades. Charles Guillemet, chefe de tecnologia da Ledger, publicou em X que a inteligência artificial tornou mais fácil descobrir e explorar vulnerabilidades, mas alguns pesquisadores divulgam detalhes antes do lançamento de correções, uma prática que ele chamou de “explorar o risco alheio para obter atenção”. Guillemet incentivou os pesquisadores a relatar primeiro as vulnerabilidades em sigilo e acordar um prazo para correção antes de divulgar os detalhes, sugerindo 90 dias como prazo padrão comum, mas indicando que esse prazo pode ser ajustado conforme a gravidade da vulnerabilidade e o esforço necessário para corrigi-la. Jan Komárek, diretor de segurança do Trezor, disse à Cointelegraph que os 90 dias representam um compromisso com os fabricantes, e não apenas uma obrigação dos pesquisadores. Ele sugeriu que os pesquisadores entrem em contato primeiro com os fabricantes para acordar um cronograma; caso os fabricantes não consigam corrigir a vulnerabilidade dentro desse prazo, os pesquisadores poderão optar por divulgação pública. Essa declaração ocorre em um contexto em que a segurança das carteiras de hardware tem recebido atenção recente: o roubo da Coldcard envolveu mais de US$ 100 milhões, e um vazamento de dados do fornecedor logístico do Trezor afetou informações pessoais de dezenas de milhares de clientes.