LedgerとTrezorは責任あるセキュリティ脆弱性の開示を呼びかけています。

ハードウェアウォレットメーカーのLedgerとTrezorは、安全研究者に対してより責任ある脆弱性開示の方法を取るよう呼びかけています。Ledgerの最高技術責任者チャールズ・ギルメットはXプラットフォームで、人工知能が脆弱性を発見し利用することを容易にしているが、一部の研究者は修正案が発表される前に詳細を公開しており、これを「他人のリスクを利用して注目を集める行為」と呼びました。

ギルメットは、研究者に対してまず非公開で脆弱性を報告し、修正のタイムラインに合意した後に詳細を公開するよう促しました。彼は90日を一般的なデフォルトの期限として挙げ、脆弱性の深刻度や修正に必要な作業量に応じて柔軟に調整できると述べました。Trezorのセキュリティ責任者ヤン・コマレクはCointelegraphに対し、90日はメーカーへの約束であり、単なる研究者の義務ではないと述べました。彼は研究者に対してまずメーカーに連絡し、スケジュールを合意することを提案し、メーカーがその期限内に修正を完了できなかった場合は公開開示を選択できるとしました。

この発言の背景には、ハードウェアウォレットのセキュリティが最近密接に注目されていることがあります。Coldcardの盗難事件は1億ドルを超える金額が関与しており、Trezorの物流サプライヤーのデータ漏洩も数万名の顧客の個人情報に影響を与えました。