Tumaas ang Benta ng Trezor, Onekey, at Bitbox sa Gitna ng Krisis ng Coldcard; Umunlad ang mga Modelo ng Seguridad

Sa 13 tagagawa ng hardware wallet na kinontak ng Bitcoin.com News para sa komento, kinumpirma ng Trezor, Bitbox, at Onekey na tumaas ang kanilang benta noong Agosto. Tumanggi ang Ledger na magkomento tungkol sa buwanang benta nito, habang ang Block—ang tagagawa ng pampublikong nakalistang Bitkey—ay nakatali sa mga quarterly report nito.

Bagama’t wala sa mga kumpanya ang nagbunyag ng eksaktong bilang, ang Bitbox ang pinaka-tiyak, sinasabing ang mga benta nito gamit ang credit card ay tumaas nang humigit-kumulang sampung beses kumpara sa baseline sa mga naunang linggo. Hindi pa rito kasama ang mga benta na ginawa sa iba pang paraan ng pagbabayad.

“Nakakita kami ng pagdagsa sa benta, na karamihan ay nagmumula sa Hilagang Amerika, kung saan marahil pinakamalaki ang presensya ng Coldcard,” sinabi ni Bitbox CEO Douglas Bakkum sa Bitcoin.com News.

Isang Nakakapanatag na Senyales para sa Self-Custody

Samantala, sinabi ng Trezor na nakakita rin ito ng pagtaas sa benta, lalo na sa benta ng mga produktong bitcoin-only nito. Bagama’t hindi tinukoy ng kumpanya ang mga bilang, itinuro ng Head of Security nito na si Jan Komárek na ang pagsirit na ito ay isang nakahihikayat na senyales para sa buong industriya ng Bitcoin.

“Para sa amin, mas interesante kung ano ang ipinahihiwatig nito: mukhang ang mga taong naapektuhan ng sitwasyon sa Coldcard ay naghanap ng ibang hardware wallet sa halip na isuko ang self-custody,” sabi niya, at idinagdag na ito ang “nakakapanatag na aral, na ang tugon sa isang mahirap na sandali ay ang manatiling may kontrol sa sarili nilang mga susi, hindi ang umatras mula rito.”

Gayunman, ayon sa mga industry analyst, maraming gumagamit ng hardware wallet ang nagpadala ng kanilang pondo sa mga crypto exchange o inilipat ang kapital nila sa mga ETF, at tinalikuran ang self-custody. Sa alinmang kaso, hindi malinaw kung gaano kalaki ang migrasyong ito o kung pansamantalang hakbang lamang ito bago bumalik ang mga user sa self-custody.

Ang Onekey, bagama’t nakapagtala rin ng pagtaas sa benta, ay nagsabing maaaring naapektuhan din ito ng iba pang salik, kabilang ang mga indibidwal na cycle ng produkto. Ayon sa kumpanya, ang krisis sa Coldcard ay nagpasiklab ng mas malawak na talakayan tungkol sa mga usaping pangseguridad ng hardware wallet na kadalasang hindi nakikita ng end user, gaya ng pagbuo ng seed phrase.

Gayunpaman, ang firmware exploit ng Coldcard ay nagpasiklab ng katulad na mga talakayan at pagkilos hindi lamang sa mga end user kundi pati sa mga tagagawa ng hardware wallet. Una, itinulak ng insidente ang mga team na repasuhin ang kani-kanilang kasalukuyang security model.

Ano na ang Nagawa ng mga Wallet

Sinuri ng Trezor ang sarili nitong seed generation partikular laban sa failure mode na sinamantala sa kaso ng Coldcard; nagsagawa naman ang BitBox ng “isa pang detalyadong pagtingin” sa sarili nitong random number generator code, habang sinabi ng Onekey na nagsagawa ito ng karagdagang end-to-end na beripikasyon ng entropy at mga seed-generation path sa buong linya ng hardware wallet nito.

Gaya ng iniulat ng Bitcoin.com News, hiwalay at walang kaugnayan sa Coldcard, inihayag at inayos ng Bitbox ang sarili nitong mga bug sa firmware nitong Agosto. Wala pang naiulat na pagsasamantala. Samantala, sa parehong buwan, ibinunyag ng Trezor na halos 14,000 sa mga customer nito ang naapektuhan ng data breach sa isa sa mga shipping provider ng Trezor.

Sa alinmang kaso, nasa unahan pa rin ang pangunahing labanan sa seguridad habang ang mga hardware wallet para sa bitcoin at iba pang crypto asset ay umaangkop sa bagong realidad na dulot ng AI.

Dalawang Bagay na Dapat Pagtuunan

“Ang mga umaatake ay nagtatrabaho na sa bilis ng makina, kaya kailangan din nating gawin iyon upang maunahan sila,” sabi ni Charles Guillemet, CTO ng Ledger, at idinagdag na sa kasalukuyan ay mas mabagal pa rin ang depensa kaysa sa mga umaatake. Kahit papaano, ayon sa kanya, lumiit ang pagitan sa pagitan ng paglabas ng patch at ng pagiging weaponised nito.

Binigyang-diin ng CTO na dapat ngayon ay magpokus ang mga kumpanya sa dalawang bagay: pagpapahusay ng disclosure at edukasyon ng user.

“Una, kailangang umunlad ang responsible disclosure sa mas mabilis na pagpa-patch, mas maiikling disclosure timeline, at mga estratehiya sa migrasyon na ipinagpapalagay na ang mga may kakayahan, AI-assisted na umaatake ay bahagi ng security model sa halip na mga opsyonal na pagpapabuti,” sinabi ni Guillemet sa Bitcoin.com News.

Dagdag pa niya, ang pagtulong sa mga tao na maunawaan ang hardware wallets “ay magiging mahalaga para mapanatiling ligtas ang industriya.”

I-upgrade Pati ang mga Kagamitang Pangbahay

Sa parehong diwa, sa kanilang “mga pagninilay sa fallout ng Coldcard,” hinimok ng mga developer ng Blockstream Jade wallet ang mga user ng hardware wallet na panatilihing updated ang kanilang software. Naglabas lang ang Blockstream Jade ng firmware update na may ilang pag-aayos. Gayunpaman, ayon sa team, bukod sa mga hardware wallet, dapat ding panatilihing updated ng mga user ang kanilang mga application, operating system, device, router, at maging ang mga kagamitang pangbahay.

“Ang pagpapanatili ng seguridad ay isang tuloy-tuloy na proseso, at ikaw bilang user ay kailangan ding makilahok,” diin nila, at idinagdag na ang bug sa Coldcard ay “isang hindi kanais-nais na kaso kung saan hindi maaaring mapaligtas ang mga user sa pamamagitan ng pag-upgrade” ng kanilang software at firmware.

Samantala, idinagdag ng Onekey na ang seguridad ng hardware wallet ay kailangang itayo sa paligid ng hardware-backed entropy at pag-iimbak ng key, nabe-beripikang open-source software, independent security review, matibay na paghihiwalay ng mga component na kritikal sa seguridad, at malinaw na user-facing na beripikasyon ng transaksyon.

“Habang pinabababa ng AI ang gastos sa pag-aanalisa ng software at pag-automate ng mga atake, ang layunin ay tiyakin na ang pagtuklas ng isang kahinaan sa implementasyon ay hindi sapat para makompromiso ang buong security model,” sinabi ng tagagawa ng wallet.

Mga Planong Pangseguridad sa Maikli, Katamtaman, at Pangmatagalang Panahon

Ang mga kumpanya mismo ay nagpapatupad na ng mga pagbabago sa seguridad para sa maikli, katamtaman, at pangmatagalang panahon. Halimbawa, ang Trezor, “bilang direktang tugon sa mga natuklasan sa Coldcard,” ay nagdaragdag ng “karagdagang sanity checks” sa internal na nabubuong entropy ng device kapag bine-verify kung ang external entropy ay talagang nagagamit.

“Bukod pa roon, ang aming review ay nagbunsod sa amin na palakasin ang aming internal testing at mga tripwire sa paligid ng hindi ligtas na test generator, at palawakin kung paano namin bine-verify ang call path ng bawat indibidwal na entropy source,” sabi ni Komárek, at binanggit na ang hindi ligtas na generator ay umiiral lamang para sa internal testing.

Pinoproseso rin ng kumpanya ang mga ulat mula sa mga independent security researcher at, sa katamtamang panahon, nagpaplano ito ng bagong penetration test ng mga core firmware feature, na isasagawa ng “isang kagalang-galang na external security agency.” Planong gawing pampubliko ang mga ulat ng security audit.

“Sa mas pangmatagalan, ang pokus namin ay maunahan ang mga AI-enabled na atake sa halip na mag-react lamang sa mga ito,” sabi ng Head of Security, habang binigyang-diin din ng iba pang tagagawa ng wallet na gumagamit na sila ng AI para repasuhin ang kanilang code, kasabay ng mga bounty program.

“Umiiral ang aming Donjon research lab (white hat hacker lab) upang subukang sirain ang aming mga produkto bago pa magawa ng iba, at sa loob ng kumpanya ay malawakan naming ginagamit ang mga LLM upang maghanap ng mga kahinaan sa sarili naming mga produkto,” dagdag ni Guillemet ng Ledger.

Sinabi ng Onekey na nakatuon na ito ngayon sa pagpapalakas ng mga review ng mga code path na kritikal sa seguridad, mga firmware build, pagbuo ng entropy, at mga daloy ng pag-sign ng transaksyon, habang sa katamtamang panahon, ang pokus nito ay mapupunta sa beripikasyon ng transaksyon, na tumutukoy sa solusyong Clear Signing, na mahalaga para sa maraming pangunahing crypto asset sa labas ng bitcoin.

Karaniwang Pananagutan at mga Bagong Kritikal na Bug

Samantala, naging mahalaga ang mga security researcher sa Block—ang tagagawa ng Bitkey—sa pagtulong sa industriya ng Bitcoin at hardware wallet sa panahon ng krisis sa Coldcard, dahil aktibo silang nakipag-ugnayan sa komunidad upang ibahagi ang mga kritikal na natuklasan at i-coordinate ang mga pagsisikap sa pagtugon.

“Ibinahagi namin ang aming mga natuklasan nang malinaw sa pamamagitan ng parehong pampublikong talakayan sa X at mga pribadong channel dahil naniniwala kami na kapag ang mga kahinaan sa seguridad ay nakakaapekto sa ecosystem, may pananagutan ang lahat ng tagagawa na kumilos nang mabilis,” sinabi ng kumpanya sa Bitcoin.com News, at idinagdag na dapat panatilihin ng mga hardware wallet ang kontrol sa mga pangunahing security model.

Habang isinusulat ang artikulong ito, noong Ago. 26, nagsimulang kumalat ang mga ulat tungkol sa isa pang “kritikal na bug sa isang pangunahing vendor ng hardware wallet”. Si Rob Segers, isang Bitcoin security consultant at founder ng Bitsaga, na nakakita ng bug kasama ang “ilang iba pang may mataas na tindi” na mga bug, ay nagsabing kinumpirma ng hindi pa pinapangalanang vendor ang mga bug na ito, “ngunit may ayos na sa paparating na release.”

Ayon kay Seger, natagpuan ang kritikal na bug sa “opisyal na hardware firmware ngunit nangangailangan ng malisyosong host software” upang manakaw ang pondo. Ibig sabihin, maaaring samantalahin ang bug kung ang user, halimbawa, ay mag-download ng pekeng wallet. Si Marek “Slush” Palatinus, co-founder ng Trezor, ay nagkumpirma na ang naiulat na bug ay hindi tungkol sa wallet na ito. Samantala, iniulat ni Seger na nakakita pa siya ng dalawa pang bug, na umani ng kritisismo dahil sa pagpapakalat ng takot.

Manatiling ligtas.