Ledger 与 Trezor 呼吁安全漏洞负责任披露

双方建议先私下报告并商定修复时间表，若厂商未能在约90天内完成修复，研究人员方可公开细节。

据 Woofun AI 消息，硬件钱包制造商 Ledger 与 Trezor 呼吁安全研究人员采取更负责任的漏洞披露方式。Ledger 首席技术官 Charles Guillemet 指出，人工智能虽使漏洞更易被发现，但部分研究人员在修复方案发布前公开细节，属于利用他人风险博取关注。他敦促研究人员先私下报告漏洞，并就修复时间表达成一致后再公开，通常以 90 天为默认期限，具体可根据漏洞严重程度和修复工作量灵活调整。

Trezor 安全主管 Jan Komárek 表示，90 天是厂商对用户的承诺，而非单纯的研究人员义务。他建议研究人员先联系厂商商定时间表，若厂商未能在期限内完成修复，研究人员可选择公开披露。近期硬件钱包安全性备受关注，Coldcard 被盗事件涉及金额超 1 亿美元，Trezor 物流供应商数据泄露也影响了数万名客户个人信息。