尋夢新聞LINE@每日推播熱門推薦文章，趣聞不漏接❤️
在第35屆混沌通訊大會（35C3）上，來自初創公司Wallet Fail的三人團隊表示，他們可以黑進最常見的硬件錢包，並且在台上演示了整個過程。硬件錢包Trezor方面表示，這群黑客並未遵守標準可靠的披露協議；Ledger錢包開發者說，這個Wallet Fail團隊給人的印象是他們的錢包存在重大漏洞，他們強調「事實並非如此」。
他們能攻破所有硬件錢包？
混沌通訊大會是一場一年一度的活動，聚集了黑客、計算機科學家以及安全專家。今年的35C3現場，有一個名為Wallet Fail的團隊進行了長達一小時的演示，該團隊認為其能夠攻破所有加密貨幣硬件設備，包括Trezor以及Leger等知名的錢包。
（Wallet Fail團隊成員）
Wallet Fail演示了如何通過固件升級來修復漏洞，但他們聲稱發現了一些微控制器存在問題，這類漏洞可能「需要全新的硬件版本」。
他們在台上演示的一些攻擊類型包括軟件攻擊。當設備被快速啟動之後，Wallet Fail就在幻燈片上公布了一些私人信息。他們演示的其他攻擊似乎顯示出了硬件錢包內部的重大漏洞，涉及的攻擊類型包括邪惡女仆攻擊（evil maid attack）、側通道攻擊（side channel assault）以及各種社交工程技巧。
這個視頻演示了破解硬件錢包專用的引導加載程序保護，繞過微控制器，並使用web頁面故障與錢包進行交互。在視頻里，Wallet Fail還亮出了一個Ledger Nano S，並在里面安裝了諾基亞手機的經典遊戲貪吃蛇。經過長達一個小時的演示之後，這些開發者把視頻傳到了自己的官網上。
（Wallet Fail團隊發明的「Trezor Glitcher」設備，聲稱可以獲取Trezor的隱私數據）
Trezor和Leger的回應
這個視頻公布之後，兩大硬件錢包製造商對Wallet Fail的說法做出了回應。
Satoshi Labs CTO Pavol Rusnak在推特上表示，他的公司並沒有通過標準的信息披露程序得到通知，而是「從台上」得知了Trezor存在漏洞。我們需要一些時間來修復這些漏洞，我們將會通過1月底的固件升級來解決問題。
Rusnak說，他也參加了這次的35C3會議，並親眼見證了這次演示。
Trezor對這個視頻的回應是：請記住，這是一個物理漏洞。也就是說，攻擊者必須拿到你的設備。如果你的Trezor依然在你手中，你可以放心繼續使用，這個漏洞不會影響到你。
（Wallet Fail開發者Thomas Roth演示Ledger安全模式）
Ledger錢包團隊也做出了回應。Ledger表示，Wallet Fail團隊演示了三種攻擊向量，給觀眾的感覺就是這些漏洞很嚴重。然而，事實並非如此，用戶不必擔心他們存在Ledger的資金安全。他們並未成功提取任何種子或者PIN碼。所有存儲在Secure Element上的敏感資產依然十分安全。我們負責任地進行信息披露是保護終端用戶的最好辦法，同時還可以保證產品安全。
硬件錢包製造商面臨重重挑戰
這已經不是硬件錢包製造商第一次需要應對那些聲稱可以攻破所有設備的黑客了。2017年，在拉斯維加斯的一場技術大會上也出現了一場揭露加密貨幣硬件錢包漏洞的演示。去年3月，一個十幾歲的青少年說他可以用代碼找到Ledger的「後門」。當時，Ledger給出的回應同樣是這些攻擊向量並不重要，無法提取私鑰。
（Wallet Fail團隊演示簡單的供應鏈攻擊向量）
和往常一樣，我們不應該全然相信這些攻擊向量，因為過去幾年的經驗告訴我們，大多數攻擊成功的前提都是要拿到設備，遠程攻擊似乎是無效的。Ledger和Trezor提醒用戶使用二級密碼。一些加密貨幣愛好者還在社交沒提示強調了設置PIN碼的重要性。