Lỗ hổng Coldcard gây thiệt hại 130 triệu USD; Ledger kêu gọi nâng cấp bảo mật phần cứng dựa trên AI

Theo Odaily Planet Daily, nhà sản xuất ví phần cứng Ledger cho rằng lỗ hổng mới được phát hiện trên Coldcard là lời cảnh báo để ngành ví Bitcoin phần cứng rà soát lại mô hình bảo mật. CTO của Ledger, ông Charles Guillemet, cho biết các thiết bị Ledger không bị ảnh hưởng vì cụm từ khôi phục được tạo ra bên trong "secure element" đạt chứng nhận, tích hợp bộ tạo số ngẫu nhiên phần cứng. Coinkite, đơn vị phát triển Coldcard, tuần trước công bố ví Bitcoin phần cứng air-gapped Coldcard tồn tại một lỗ hổng có từ các phiên bản firmware phát hành vào tháng 3/2021. Theo mô tả, điểm yếu liên quan cơ chế "rollback" phần mềm trong quá trình tạo seed khôi phục, khiến một số khóa riêng có thể bị đoán. Thiệt hại ước tính vào khoảng 130 triệu USD. Coinkite đã phát hành firmware vá lỗi vào Chủ nhật và khuyến nghị người dùng bị ảnh hưởng chuyển tài sản sang ví mới với seed được tạo lại. Ông Guillemet nhấn mạnh mã nguồn mở không đồng nghĩa đã được thẩm định; lỗ hổng này tồn tại trong mã công khai hơn 5 năm. Ông cũng cảnh báo AI đang giúp kẻ tấn công quét mã và tìm lỗi với tốc độ máy. Theo Ledger, trong hai năm qua công ty đã kết hợp AI cùng đội ngũ kỹ sư bảo mật và chuyên gia mật mã để rà soát mã và phát hiện lỗ hổng. Ledger khuyến nghị người dùng khi đánh giá ví phần cứng cần hiểu cơ chế tạo tính ngẫu nhiên và liệu quy trình đó có được chứng nhận độc lập hay không.