DGE:安全研究人員披露 Ledger 簽名安全漏洞，漏洞或導致用戶資金被盜

鏈聞消息，安全研究人員Monokh撰文披露加密貨幣錢包Ledger硬件錢包存在的安全漏洞。Monokh指出，該漏洞可能導致用戶資金被盜。Ledger會在除比特幣之外的應用程序上公開比特幣密鑰和簽名信息，會提供誤導性的交易確認請求。以比特幣和萊特幣應用程序為例，漏洞攻擊路徑為：1.打開萊特幣應用程序；2.獲取比特幣隔離見證地址；3.根據地址查看UTXOs；4.發起比特幣交易并發送給Ledger設備要求簽名；5.得到有效的已簽名比特幣交易信息。Ledger本應在上述第二、第四步驟中識別錯誤并對其進行阻止，但仍然提示用戶進行交易。所有固件版本和App版本均受到此漏洞影響。Monokh建議Ledger在實時應用程序目錄上禁用山寨幣應用程序，直至發布修補程序。根據漏洞披露進程表，2019年1月份，Monokh最初于2019年1月份向Ledger披露與隱私相關的安全漏洞，隨后，Ledger更新了固件但未對應用程序進行更新，并表示在更新應用程序后將立即公開漏洞。2019年4月份，Monokh再次聯系Ledger要求更新應用程序，但未得到反饋。今年5月份，Monokh將該漏洞的根本原因在簽名功能方面，這可能會導致用戶資金被盜。此后，Ledger稱正在調查該漏洞。之后Monokh多次聯系Ledger并要求披露漏洞并對其進行修復，但未得到回應，Ledger也沒有修復或披露相關漏洞。

英國計算機安全研究員：不應因勒索軟件而責怪加密貨幣:金色財經報道，英國計算機安全研究員Marcus Hutchins表示，因勒索軟件的興起而責怪加密貨幣是錯誤的。Hutchins指出，無論有沒有比特幣，黑客都會找到辦法。他繼續表示，加密貨幣無疑讓勒索軟件更易于訪問并助長了它的擴散，但如果沒有比特幣，這類攻擊也會持續存在。[2021/7/14 0:49:28]

動態 | 安全研究人員在Linux上發現加密貨幣挖礦惡意軟件:據zdnet消息，Trend Micro安全研究人員發現了一種新的惡意軟件，它在Linux計算機上開采加密貨幣，但它與其他發現的加密軟件不同，因為它下載了一個rootkit來改變操作系統從而隱藏挖礦導致的高CPU使用。[2018/11/10]

日本橫濱召開網絡安全研討會 提及虛擬貨幣安全問題:5月15日，日本橫濱市召開了“神奈川縣網絡犯罪對策研討會”，會議就虛擬貨幣相關安全問題提出了參考意見，一是業界不應只重利益，還應加大網絡安全對策的研究力度，二是要加強虛擬貨幣風險教育。[2018/5/17]

Tags：GERLEDDGEEDGBABY CRAZY TIGERledger錢包照片HONEYBADGERledgit

AAVE