cointelegraph发布于2026-09-08更新于2026-09-08
硬件钱包制造商Ledger和Trezor呼吁更负责任地披露安全漏洞。Ledger首席技术官Charles Guillemet表示，人工智能使得漏洞更容易被发现和利用，但一些研究人员在补丁发布前就公开其发现，这种做法被称为“利用他人风险的注意力耕作”。他敦促研究人员先私下报告漏洞，并商定修复时间表后再公开细节，通常默认时间为90天，但可根据漏洞严重性和修复工作灵活调整。Trezor安全主管Jan Komárek强调，90天是厂商的承诺，并建议研究人员先与公司沟通并商定时限，若厂商未能在期限内修复，则可自行公开。近期硬件钱包安全问题备受关注，此前Coldcard盗窃案涉及金额超过1亿美元，而Trezor的物流供应商数据泄露事件暴露了数万名客户的个人信息。
硬件钱包制造商Ledger和Trezor呼吁以更负责任的方式披露安全漏洞。
在周一发布于X的一篇帖子中，Ledger首席技术官Charles Guillemet表示，人工智能让漏洞的发现和利用变得更容易。然而，一些研究人员在补丁可用之前就公布了他们的发现，他将这种做法称为“以他人的风险为代价的流量收割”。
Guillemet敦促研究人员私下报告漏洞，并在公布细节前就修复时间表达成一致。他提到90天是一个常见的默认期限，并根据漏洞的严重性和修复所需工作提供灵活性。
“90天是供应商的承诺，不仅仅是研究人员的承诺，”Trezor安全主管Jan Komárek告诉Cointelegraph。
“研究人员：首先联系我们，商定时间表，然后全文发布。如果我们在该时间窗口内未能发布修复程序，无论如何都可以发布，”他说。
在Coldcard钱包盗窃案涉案金额超过1亿美元，以及Trezor的运输供应商发生数据泄露，暴露了数万名客户的个人信息之后，硬件钱包的安全性受到了严格审视。
相关：Trezor表示数据泄露事件还影响了另外6.7万名美国客户
QLedger首席技术官对AI时代的安全漏洞披露提出了什么主要担忧？
ALedger首席技术官Charles Guillemet担心，人工智能使安全漏洞更容易被发现和利用，但一些研究人员在补丁发布前就公开漏洞细节，他将这种做法称为“用他人的风险来博取关注”。
QLedger和Trezor对安全研究人员在发现漏洞后的披露流程有何建议？
A他们呼吁研究人员在公开漏洞细节前，应私下向供应商报告并商定一个修复时间表（例如常见的90天默认期限）。之后，如果供应商未能在约定时间内发布修复方案，研究人员再自行公开。
QTrezor的安全主管Jan Komárek如何解释90天的修复期限？
AJan Komárek表示，90天的期限不仅是研究人员等待的时间，更是供应商修复漏洞的责任承诺。供应商需要在此期间内完成修复工作。
Q硬件钱包的安全性为何近期受到高度关注？
A近期，Coldcard钱包失窃案造成超过1亿美元损失，同时Trezor的物流供应商发生数据泄露，暴露了数万名客户的个人信息，这些事件使得硬件钱包的安全性问题受到严格审视。
Q根据文章，修复时间表的设定需要考虑哪些因素？
A修复时间表的设定需要考虑漏洞的严重程度以及修复漏洞所需的工作量。通常的90天期限可以根据这些因素进行灵活调整。
