硬體錢包今年經歷了相當不平凡的一年。 Coldcard 的種子生成漏洞、Trezor 的 TROPIC01 芯片弱點，以及多年來對旁道攻擊和實體攻擊的研究，揭示了硬體安全的深度。 我們現在正與 @Tangem 進行直播，討論安全、自託管、硬體錢包，以及真正保障用戶資產安全所需的條件。 歡迎加入我們 👇

今年已發生四起硬體錢包客戶資料外洩事件，其中三起僅在過去兩週內發生。

在 86 分鐘內，arrayref 依賴一個其構建腳本在編譯期間獲取並運行二進制文件的套件。libsecp256k1、schnorrkel 和 ledger-apdu 都依賴 ^0.3 版本。 在該窗口內有 2,285 次下載。註冊表統計的是獲取次數，而非構建次數，因此我不清楚這個數字的具體含義。

僅檢查錢包地址的前4位和後4位已不再足夠。 在這次地址毒化事件中，用戶首先發送了100 USDT作為測試。 攻擊者隨後生成了一個相似地址，並向受害者轉賬1.01 USDT，僅為將假地址放入其交易記錄中。 幾分鐘後，錯誤的地址被複製。 約2.5M USDT不見了。 私鑰未被竊取。 錢包未被駭入。 僅僅是將一個地址誤認為另一個地址。 這就是為何交易驗證至關重要：檢查更多地址字符、在設備上驗證，絕不盲目從交易記錄中複製。 安全應保護決策——而不僅僅是密鑰。 #UnionKey #CryptoSecurity #AddressPoisoning #SelfCustody

Sparrow 錢包進行了廣泛的更新。 在 Coldcard 事件之後，可能出現了大量由 AI 生成的報告。為應對未來的 AI 攻擊，Craig Raw 本人對全系統進行了自我檢查，並提前在必要處進行了妥善處理。 他還表示：「請不要把任何你們不理解的『弱點』都發送過來。」