炒股大(da)本营(www.dzyb.cn)讯：知名冷钱包大厂Ledger上周公布了新的私(si)钥备份功能「Ledger Recover」，但遭到社群的强烈抵触，甚至造成Ledger用户(hu)对资产安全的忧虑(lu)，而受此影响不少(shao)用户也决定转向使用(yong)另一个主流冷钱包品牌(pai)Trezor。
Trezor传出漏洞物理可以(yi)破解实体钱包
然(ran)而，网络安全公司Unciphered在YouTube拍摄了一部影片，展示了从钱包中(zhong)提取助记词(或(huo)私钥)的过程，声称他们能够以物理方式破解Trezor旗下的冷钱包。
硬件钱(qian)包是用于线下存储私钥并保护(hu)加密资产的设备，通常被认为具(ju)有高度安全性。但Unciphered表示，如果黑客拥(yong)有一台TrezorT的钱包，理论上可以绕过该型号的(de)硬件安全机制。
在影片中，Unciphered团队表示他们开发了(le)一种「内部漏洞利用」方法，使(shi)他们能够提取钱包的(de)固件。Unciphered共同创办人Eric Michaud对此表示：「通过利用专用的GPU晶片，他(ta)们最终能够破解该设备的(de)PIN码助记词。」
此外，Michaud解释：我们将提取的固件上传到(dao)我们的高效能计(ji)算破解集群上。我们有大(da)约10个GPU，在一段时(shi)间后，我们提取了私钥。
Michaud进一步表示，修复TrezorT的这个漏洞需要(yao)召回所有产品。事实上，这并非Unciphered第一次成功地以物理(li)方式破解并取得(de)私钥，早在2月该公司就以同样(yang)手法对香港冷钱包品牌OneKey进(jin)行类似攻击。
Trezor技术长：这是RDP降级攻击的漏洞
针(zhen)对Unciphered对钱包的(de)物理攻击，Trezor技术长Tomá Suánka表示：这似乎是一种(zhong)称为RDP降级攻击的漏(lou)洞，正如我们在2020年初的Medium中所介绍的，RDP降级(ji)攻击需要对设备进行物理窃(qie)取，以及极其复杂的技术知(zhi)识和先进设备。即使(shi)具备上述条件，通过使用强密码短语(yu)，Trezor仍然可以得到保(bao)护，这增加了另(ling)一层安全性，使RDP降级攻击(ji)变得无效。
换而(er)言之，尽管Trezor承(cheng)认Unciphered的演示与Kraken Security Labs的研究人员发现(xian)影响Trezor One和Trezor Model T的RDP降级攻击漏洞有相似之处，但(dan)这意味着该漏洞并非新发现。
Trezor还表示，他们已经(jing)采取重要措施，在与其(qi)姐妹公司Tropic Square合作开发新的冷钱包安全元(yuan)件，以解决这个问题。
