Ledger e Trezor chiedono una divulgazione responsabile delle vulnerabilità dei wallet hardware

Ledger e Trezor, due dei principali produttori di wallet hardware, hanno lanciato una chiamata urgente per una divulgazione più responsabile delle vulnerabilità di sicurezza. In un post pubblicato su X, il CTO di Ledger, Charles Guillemet, ha sottolineato come l’intelligenza artificiale abbia reso più facile individuare e sfruttare bug, ma avverte che alcuni ricercatori pubblicano i risultati prima che i fornitori abbiano il tempo di correggerli, una pratica definita “attention farming with someone else’s risk”.

Il contesto della sicurezza dei wallet hardware

I wallet hardware sono considerati la forma più sicura di custodia per le criptovalute, grazie alla loro capacità di mantenere le chiavi private offline. Tuttavia, negli ultimi anni, incidenti come le frodi Coldcard che hanno superato i 100 milioni di dollari e una violazione dei dati del provider di spedizione di Trezor hanno messo in luce la vulnerabilità di questi dispositivi. La sicurezza di questi prodotti è quindi sotto scrutinio da parte di investitori, utenti e autorità di regolamentazione.

Il ruolo dell’intelligenza artificiale nella ricerca di vulnerabilità

L’IA ha rivoluzionato il modo in cui i ricercatori identificano le falle di sicurezza. Algoritmi di machine learning possono analizzare rapidamente grandi quantità di codice, individuando pattern che un umano potrebbe trascurare. Sebbene ciò aumenti la capacità di proteggere i sistemi, comporta anche un rischio: la rapidità con cui i bug vengono scoperti può spingere i ricercatori a pubblicare i risultati prima che i produttori abbiano il tempo di intervenire.

La proposta di Ledger e Trezor: un periodo di 90 giorni

Guillemet e Jan Komárek, capo della sicurezza di Trezor, hanno suggerito un approccio strutturato: i ricercatori dovrebbero segnalare le vulnerabilità in modo privato e concordare un termine per la correzione. Il valore di 90 giorni è stato citato come standard comune, ma può variare in base alla gravità del bug e alla complessità della soluzione. Se il fornitore non riesce a rilasciare un patch entro quel periodo, la divulgazione pubblica può procedere.

Reazioni della comunità e implicazioni per l’ecosistema crypto

La proposta ha ricevuto un misto di supporto e preoccupazione. Alcuni ricercatori vedono l’approccio come un modo per proteggere gli utenti, mentre altri temono che la rigidità possa rallentare la condivisione di informazioni critiche. Per le aziende, l’adozione di un framework di divulgazione può ridurre il rischio di attacchi pubblici e migliorare la fiducia degli utenti.

Conclusioni

Il dibattito sollevato da Ledger e Trezor evidenzia l’importanza di un equilibrio tra velocità di scoperta e sicurezza degli utenti. Con l’IA che continua a evolversi, la comunità di sicurezza deve definire linee guida chiare per garantire che le vulnerabilità vengano gestite in modo tempestivo e responsabile, proteggendo così l’intero ecosistema delle criptovalute.