最近发现的两个流行的硬件钱包中的漏洞使攻击者可以在不靠近设备的任何地方持有用户的加密货币进行勒索。
?ShiftCrypto，瑞士公司，制造商BitBox硬件钱包，已经公开了一种潜在的人在这中间攻击赎金的对手矢量Trezor和KeepKey硬件钱包。
名为Marko的ShiftCrypto开发人员在2020年春季发现了此漏洞，并分别在4月和5月通知Trezor和KeepKey团队。
安全公司Unciphered破解OneKey制造的加密硬件钱包:金色财经报道，根据官方公告，安全公司 Unciphered 成功破解了 OneKey 制造的加密硬件钱包，OneKey 是一家总部位于香港的公司，去年筹集了 2000 万美元。在硬件钱包中，授予对加密资产访问权限的私钥离线存储并受物理设备保护，这使得它们更不容易受到黑客攻击或盗窃，但是 Unciphered 能够绕过 OneKey Mini 中的硬件安全机制，该公司成功实施了“中间人”钱包黑客攻击，它能够通过利用漏洞从 OneKey Mini 硬件钱包中提取助记种子短语（即私钥）。
OneKey 承认了该漏洞，表示其硬件团队已经更新了安全补丁，没有任何人受到影响，团队还向 Unciphered 支付了漏洞赏金，以感谢他们对 OneKey 安全性的贡献。[2023/2/11 12:00:19]
?ShiftCrypto并不暗示已经进行了攻击，只是暗示可能进行攻击。CoinDesk与Trezor和KeepKey取得联系，询问攻击是否影响了他们的任何客户，但在发稿时都未收到任何回复。
V神：硬件钱包被高估，资产应存入多签钱包:8月15日消息，以太坊创始人 Vitalik Buterin 表示，硬件钱包被高估了，大多数人应该将其持有的大部分 Token 存入多重签名（≥5 名参与者）之中，并确保占其中多数比例的密钥由值得信赖的家人和朋友持有。[2022/8/15 12:26:55]
?Trezor已为其Model1和ModelT硬件钱包修复了该漏洞。根据ShiftCrypto团队的说法，KeepKey尚未修复，他说制造商引用了“更高优先级的项目”作为原因。
动态 | 淘宝上线区块链技术产品类目 区块链领域硬件钱包商已入驻:数字资产钱包比特派Bitpie在微博表示，目前淘宝新增区块链技术产品二级类目，该类目下可上架带宽共享设备和数字货币硬件钱包两类商品，这意味着目前主流数字加密货币硬件钱包可在淘宝系统内上架销售，而带宽共享设备指的是玩客云之类流量共享设备。根据淘宝卖家的官方描述，区块链技术产品现在是一个风口，已经衍生出了不少实物类商品和虚拟类软件服务。淘宝行业先建实物类目。[2019/12/19]
?假设的攻击涉及一个可选的密码，Trezor和KeepKey用户可以设置密码来代替通常的PIN码来解锁设备。这两个硬件钱包都需要与计算机或移动设备建立USB连接才能管理帐户。将硬件钱包插入另一台设备时，用户将密码输入到另一台设备中以访问前者。
?问题是Trezor和KeepKey都不会验证用户输入的密码。验证需要在钱包的屏幕上显示密码，以便用户确保密码与他们在计算机上键入的内容匹配。
?如果没有这种保护措施，中间人攻击者可能会通过将新的密码短语导入钱包来修改Trezor或KeepKey及其用户之间传递的信息。用户不会更明智，因为他或她无法检查设备上的密码是否与计算机屏幕上的密码匹配。
?输入旧密码后，用户将照常在计算机上打开硬件钱包的界面。但是，生成的每个地址都将受到黑客设置的新密码短语的控制，因此硬件钱包用户将无法花费锁定在这些地址中的资金。
?但是，攻击者无法访问这些地址，因为它们仍然是从钱包的种子短语派生而来的，因此只能被勒索。因此，即使黑客可以访问真实的密码短语，他或她也将需要种子短语或设备本身的访问权限。
?这种赎金攻击可以立即针对多个用户执行，并且多种加密货币可以同时被劫为人质。
?Trezor和KeepKey有过口角，在过去的漏洞，但所有这些要求的硬件钱包物理访问成功SANS一对夫妇例外。他们的竞争对手发现的那个通过允许假想的攻击者远程工作而破土动工。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。