Ledger и Trezor призывают к ответственному раскрытию уязвимостей безопасности

ChainCatcher сообщает, что производители аппаратных кошельков Ledger и Trezor призывают исследователей безопасности применять более ответственный подход к раскрытию уязвимостей. Главный технолог Ledger Чарльз Гильеме опубликовал сообщение на платформе X, в котором отметил, что искусственный интеллект сделал обнаружение и эксплуатацию уязвимостей проще, однако некоторые исследователи публикуют детали до выпуска исправлений. Он назвал такой подход «попыткой привлечь внимание за счет рисков других». Гильеме призвал исследователей сначала сообщать об уязвимостях конфиденциально и согласовывать сроки исправления перед публикацией деталей, предложив 90 дней в качестве стандартного срока, который можно гибко корректировать в зависимости от серьезности уязвимости и объема работы по исправлению. Глава безопасности Trezor Ян Комарек заявил Cointelegraph, что 90 дней — это обязательство перед производителем, а не только обязанность исследователей. Он рекомендовал исследователям сначала связаться с производителем и договориться о графике; если производитель не успевает исправить уязвимость в установленный срок, исследователь может выбрать публичное раскрытие. Эти заявления сделаны на фоне повышенного внимания к безопасности аппаратных кошельков: кража Coldcard затронула более 100 миллионов долларов, а утечка данных логистического поставщика Trezor повлияла на персональные данные десятков тысяч клиентов.