У аппаратных кошельков был весьма насыщенный год. Ошибка в генерации семени у Coldcard, уязвимость чипа Trezor TROPIC01 и годы исследований атак по побочным каналам и физических атак показали, насколько глубока аппаратная безопасность. Сейчас мы в прямом эфире с @Tangem обсуждаем безопасность, самохранение, аппаратные кошельки и то, что действительно необходимо для защиты активов пользователей. Присоединяйтесь к нам 👇

Четыре утечки данных клиентов аппаратных кошельков за этот год. Три из них — только за последние две недели.

В течение 86 минут arrayref зависел от крейта, скрипт сборки которого загружал бинарный файл и запускал его в процессе компиляции. libsecp256k1, schnorrkel и ledger-apdu используют его в версии ^0.3. 2 285 загрузок за этот период. Реестр подсчитывает запросы, а не сборки, поэтому я не знаю, что означает это число.

Проверки только первых 4 и последних 4 символов адреса кошелька больше недостаточно. В этом случае отравления адреса пользователь сначала отправил 100 USDT в качестве теста. Затем злоумышленник сгенерировал похожий адрес и отправил 1,01 USDT жертве — просто чтобы поместить фальшивый адрес в её историю транзакций. Через несколько минут был скопирован неверный адрес. ~2,5 млн USDT исчезли. Частный ключ не был украден. Кошелек не был взломан. Просто один адрес был принят за другой. Вот почему проверка транзакций важна: проверяйте больше символов адреса, подтверждайте на устройстве и никогда не копируйте слепо из истории транзакций. Безопасность должна защищать решение — а не только ключ. #UnionKey #CryptoSecurity #AddressPoisoning #SelfCustody

Крупное обновление Sparrow Wallet. После инцидента с Coldcard, вероятно, было создано огромное количество отчетов, сгенерированных ИИ. Чтобы подготовиться к будущим атакам с использованием ИИ, Крейг Рэу лично провел всестороннюю самооценку и заранее внес необходимые исправления. «Не шлите мне всё подряд как “уязвимости”, которые вы не понимаете», — также отметил он.