Re: [新聞] Ledger助記詞恢復功能爭議整理

作者: azuel (Observer)   2023-05-19 01:53:17
※ 引述《MRjk ()》之銘言:
: 現在可能沒有任何一個硬體錢包是真正安全的
: 只能再觀察看看這部分的市場缺口之後會由誰補上
: 在那之前只能先勸大家不要隨便更新手上Ledger硬體錢包的韌體
再補充一點,目前有open source的硬體錢包
但我做一個晚上的功課還沒有辦法確認是不是所有環節都有open source
如果有人發現open source不完全的話,請也報給大家知
至少手中拿這些的人可以相對喘口氣:
1. trezor :
https://trezor.io/
https://github.com/trezor
2. coldcard :
https://coldcard.com/
https://github.com/Coldcard
3. blockstream jade(BTC only) :
https://blockstream.com/jade/
https://github.com/Blockstream/Jade
(好啦我知道這個很拉仇恨值,但我還是得列出來啊)
4. Bitbox :
https://shiftcrypto.ch/bitbox02/
https://github.com/digitalbitbox/bitbox02-firmware
5. keepkey :
https://www.keepkey.com/
https://github.com/keepkey/keepkey-firmware
6. Passport (BTC only) :
https://foundationdevices.com/passport/
https://github.com/Foundation-Devices/passport2
有open source表示它software / firmware都相對透明、可檢驗
廠商更新的時候,人們可以檢視更新的內容是什麼
如果有可疑的更新、包含任何把私鑰匯出的功能,就會被發現
ledger則是firmware沒有open source,只有app有
作者: wahaha99 (此方不可長)   2023-05-19 03:51:00
其實APP有也很夠了,只有FW不能怎樣啊
作者: usttsu (拳霸愛好者)   2023-05-19 08:28:00
safepay 這款有open source嗎
作者: hallow (聖徒)   2023-05-19 11:51:00
只有FW不能怎麼樣?駭客可以不要用官方的SW啊
作者: wahaha99 (此方不可長)   2023-05-19 14:19:00
駭客不用官方FW 你FW有開源是有鳥用 XD看錯不用官方APP 那對一個沒開源的FW是能怎樣?
作者: usttsu (拳霸愛好者)   2023-05-19 15:13:00
我打錯字,safepal,沒有開源啊
作者: yahooyamgoog (安安唷)   2023-05-19 15:46:00
原來safepal沒開源,那可以繼續凍存了
作者: wahaha99 (此方不可長)   2023-05-19 15:56:00
我的意思是如果FW沒開源、APP有開源的前提APP既然開源, 內部人也沒法rug啊,不管怎樣要透過app去跟冷錢包access不是?當然啦,開源的好處就是抓漏洞容易,FW確實有可能會被找到未公開漏洞而被攻擊
作者: brucetu (sec)   2023-05-19 21:31:00
FW不開源等於有可能你更新FW然後錢就被新版的FW全部轉走內部人手上有開源的app加上FW sourcecode 加上你安裝了他新寫的惡意FW,絕對有能力把錢轉走,分析app code看key怎麼存的就能在FW裡面塞一段code把key傳出去或是發起交易,整個設備都是他控制啊
作者: mongala   2023-05-20 08:18:00
onekey也是開源的

Links booklink

Contact Us: admin [ a t ] ucptt.com