Các ví phần cứng đã có một năm đầy biến động. Lỗi tạo seed của Coldcard, lỗ hổng chip TROPIC01 của Trezor, cùng hàng năm nghiên cứu về các cuộc tấn công kênh phụ và tấn công vật lý đã cho thấy mức độ sâu sắc của bảo mật phần cứng. Hiện tại chúng tôi đang trực tiếp nói chuyện với @Tangem về bảo mật, tự lưu giữ, ví phần cứng và những gì thực sự cần thiết để bảo vệ tài sản của người dùng. Hãy cùng tham gia với chúng tôi 👇

Bốn vụ rò rỉ dữ liệu khách hàng ví phần cứng trong năm nay. Ba vụ trong vòng hai tuần qua chỉ tính riêng.

Trong 86 phút, arrayref phụ thuộc vào một crate mà script xây dựng của nó tải về một tệp nhị phân và chạy nó trong quá trình biên dịch. libsecp256k1, schnorrkel và ledger-apdu đều sử dụng phiên bản ^0.3. 2.285 lần tải trong khoảng thời gian đó. Registry đếm số lần truy cập, không phải số lần xây dựng, nên tôi không biết con số đó có ý nghĩa gì.

Việc chỉ kiểm tra 4 ký tự đầu và 4 ký tự cuối của địa chỉ ví không còn đủ nữa. Trong trường hợp đầu độc địa chỉ này, người dùng đã gửi trước 100 USDT để kiểm tra. Kẻ tấn công sau đó đã tạo ra một địa chỉ giống hệt và gửi 1,01 USDT đến nạn nhân—chỉ để đưa địa chỉ giả vào lịch sử giao dịch của họ. Vài phút sau, địa chỉ sai đã được sao chép. Khoảng 2,5 triệu USDT đã biến mất. Không có khóa riêng nào bị đánh cắp. Không có ví nào bị xâm nhập. Chỉ đơn giản là một địa chỉ bị nhầm lẫn với địa chỉ khác. Đây là lý do tại sao việc xác minh giao dịch lại quan trọng: kiểm tra nhiều hơn các ký tự của địa chỉ, xác minh trên thiết bị và không bao giờ sao chép một cách mù quáng từ lịch sử giao dịch. Bảo mật nên bảo vệ quyết định—không chỉ là khóa riêng. #UnionKey #CryptoSecurity #AddressPoisoning #SelfCustody

Cập nhật rộng rãi cho Sparrow Wallet. Sau sự kiện Coldcard, có lẽ đã có rất nhiều báo cáo được tạo bởi AI. Để chuẩn bị cho các cuộc tấn công bằng AI trong tương lai, Craig Raw đã tự thực hiện việc kiểm tra toàn diện và chủ động can thiệp vào những vị trí cần thiết. Anh ấy cũng nhấn mạnh: “Đừng gửi bất kỳ ‘lỗ hổng’ nào mà bạn không hiểu rõ.”