Апаратні гаманці мали досить насыщений рік. Баг у генерації посіву в Coldcard, вразливість чіпа Trezor TROPIC01 та роки досліджень атак через побічні канали та фізичних атак показали, наскільки глибоко простягається апаратна безпека. Зараз ми в прямому ефірі з @Tangem, обговорюємо безпеку, самоконтроль, апаратні гаманці та те, що насправді потрібно для забезпечення безпеки активів користувачів. Приєднуйтесь до нас 👇

Чотири витоки даних клієнтів апаратних гаманців цього року. Три з них — лише за останні два тижні.

Протягом 86 хвилин arrayref залежав від крейта, скрипт збірки якого завантажував бінарний файл і виконував його під час компіляції. libsecp256k1, schnorrkel та ledger-apdu всі використовують ^0.3. 2 285 завантажень за цей період. Реєстр враховує завантаження, а не збірки, тому я не знаю, що означає це число.

Перевірка лише перших 4 і останніх 4 символів адреси гаманця більше не достатня. У цьому випадку адресної підміни користувач спочатку надіслав 100 USDT у якості тесту. Зловмисник створив адресу, схожу на справжню, і надіслав 1,01 USDT жертві — лише щоб помістити фальшиву адресу в історію транзакцій. Хвилини по тому було скопійовано неправильну адресу. ~2,5 млн USDT зникли. Приватний ключ не був вкрадений. Гаманець не був взламаний. Просто одна адреса була помилково сприйнята як інша. Ось чому важлива перевірка транзакцій: перевіряйте більше символів адреси, підтверджуйте на пристрої і ніколи не копіюйте сліпо з історії транзакцій. Безпека має захищати рішення — а не лише ключ. #UnionKey #CryptoSecurity #AddressPoisoning #SelfCustody

Велике оновлення гаманця Sparrow. У зв’язку з подією з Coldcard, ймовірно, було надіслано велику кількість звітів, створених за допомогою ШІ. Щоб підготуватися до майбутніх атак з використанням ШІ, Крейг Роу сам провів всебічний аудит і вчасно виправив усі необхідні місця. «Не надсилайте мені все підряд як “вразливості”, якщо самі не розумієте їх».