Đồng sáng lập Solana lên tiếng báo động về bảo mật ví phần cứng
TREE NEWS đưa tin: Anatoly Yakovenko, đồng sáng lập Solana, thường được gọi là Toly, đã đưa ra cảnh báo nghiêm trọng về bảo mật của ví phần cứng, cho rằng một số thiết bị có thể gặp vấn đề về tạo số ngẫu nhiên không an toàn và thậm chí rò rỉ cụm từ ghi nhớ có chủ đích. Trong một bài đăng gần đây, Toly nhấn mạnh rằng một số ví phần cứng có thể sử dụng bộ tạo số ngẫu nhiên yếu hoặc độc hại—chẳng hạn như băm dấu thời gian—để tạo cụm từ seed, và cũng có thể truyền các seed đã được tải trước đó.
Bình luận của ông được đưa ra trong bối cảnh các giải pháp tự lưu ký đang bị giám sát chặt chẽ hơn khi việc áp dụng tiền mã hóa mở rộng. Ví phần cứng được coi là tiêu chuẩn vàng để bảo vệ khóa riêng, nhưng cảnh báo của Toly nhấn mạnh rằng không phải tất cả các thiết bị đều được tạo ra như nhau. “Nếu bộ tạo số ngẫu nhiên bị lỗi, toàn bộ mô hình bảo mật sẽ sụp đổ”, ông viết, đề xuất rằng người dùng có thể tự tạo cụm từ ghi nhớ bằng cách tung xúc xắc để có tính ngẫu nhiên thực sự.
Phân tích ngành: Giả định tin cậy trong ví phần cứng
Ví phần cứng dựa vào việc tạo số ngẫu nhiên an toàn để tạo cụm từ seed gần như không thể đoán được. Tuy nhiên, nếu nhà sản xuất sử dụng RNG yếu—hoặc cố ý cài backdoor—các khóa tạo ra có thể dự đoán được hoặc bị kẻ tấn công biết. Việc Toly đề cập đến “băm thời gian” như một nguồn ngẫu nhiên đặc biệt đáng lo ngại: dấu thời gian có entropy thấp và có thể bị tấn công vét cạn.
Đề xuất sử dụng xúc xắc không mới; nó phản ánh các phương pháp mà cypherpunk và những người ủng hộ quyền riêng tư đã đề xuất trong nhiều thập kỷ. Xúc xắc cung cấp entropy vật lý, khi được tung và ghi lại đúng cách, có thể tạo ra seed thực sự ngẫu nhiên. Tuy nhiên, cách tiếp cận này đòi hỏi thực hiện cẩn thận để tránh thiên lệch và lỗi con người.
- Rủi ro chuỗi cung ứng: Ví phần cứng có thể bị can thiệp trong quá trình sản xuất hoặc phân phối.
- Lỗ hổng firmware: Ngay cả các thiết bị có uy tín cũng từng gặp lỗi có thể làm lộ seed.
- Lỗi người dùng: Lưu trữ seed kém và tấn công lừa đảo vẫn là nguyên nhân phổ biến nhất gây mất mát.
Cảnh báo của Toly cũng ngầm chỉ trích tính không minh bạch của một số công ty ví phần cứng, nơi mã nguồn đóng và không thể kiểm toán việc tạo số ngẫu nhiên. Sự thiếu minh bạch này là căng thẳng trung tâm trong câu chuyện tự lưu ký.
Góc nhìn tương lai: Hướng tới tính ngẫu nhiên có thể xác minh
Ngành công nghiệp tiền mã hóa ngày càng tập trung vào tính ngẫu nhiên có thể xác minh. Các dự án đang khám phá các giải pháp dựa trên phần cứng như phần tử bảo mật và firmware mã nguồn mở có thể kiểm toán. Đối với người dùng, bài học rất rõ ràng: đa dạng hóa phương thức lưu ký, xác minh nguồn entropy và cân nhắc tạo seed ngoại tuyến với tính ngẫu nhiên đã được chứng minh.
Khi các nhà quản lý và nhà đầu tư tổ chức để mắt đến tiền mã hóa, tính toàn vẹn của việc tạo khóa sẽ là tối quan trọng. Cảnh báo của Toly đóng vai trò như một lời nhắc nhở kịp thời rằng trong một hệ sinh thái không cần tin cậy, ngay cả những công cụ chúng ta tin tưởng cũng phải được xem xét kỹ lưỡng.
