OneKey phản hồi về sự cố Milk Sad: Lỗ hổng bảo mật không ảnh hưởng đến tính bảo mật của ví phần mềm và phần cứng

Theo tài khoản Twitter tiếng Trung của OneKey, liên quan đến lỗ hổng số ngẫu nhiên liên quan đến sự cố "Milk Sad" gần đây, đội ngũ OneKey đã làm rõ rằng lỗ hổng này không ảnh hưởng đến tính bảo mật của các ký tự ghi nhớ và khóa riêng tư trong ví phần mềm và phần cứng của OneKey. Lỗ hổng này bắt nguồn từ Libbitcoin Explorer (bx) phiên bản 3.x, sử dụng trình tạo số giả ngẫu nhiên dựa trên thời gian hệ thống và thuật toán Mersenne Twister-32. Không gian hạt giống này bị giới hạn ở 2³² bit, cho phép kẻ tấn công lấy được khóa riêng tư thông qua dự đoán hoặc tấn công brute force. Lỗ hổng này ảnh hưởng đến một số phiên bản cũ hơn của Trust Wallet và tất cả các sản phẩm sử dụng bx 3.x hoặc các phiên bản cũ hơn của Trust Wallet Core. OneKey tuyên bố rằng ví phần cứng của họ sử dụng chip bảo mật EAL6+ với trình tạo số ngẫu nhiên thực TRNG tích hợp; các thiết bị cũ hơn cũng đã vượt qua bài kiểm tra entropy SP800-22 và FIPS140-2. Ví phần mềm sử dụng nguồn entropy CSPRNG cấp hệ thống để tạo số ngẫu nhiên, tuân thủ các tiêu chuẩn mật mã. Nhóm nghiên cứu nhấn mạnh rằng người dùng được khuyên nên sử dụng ví phần cứng để quản lý tài sản của mình và không nên nhập mã ghi nhớ do ví phần mềm tạo ra vào ví phần cứng để đảm bảo an ninh tối đa.