2 lỗi bảo mật trên ví Frostsnap được vá trong bản v0.4.0

Frostsnap, ví phần cứng đa chữ ký (multisig) dành cho Bitcoin(BTC), vừa phát hành phiên bản v0.4.0, khắc phục 2 lỗi bảo mật. Công ty khuyến nghị người dùng cập nhật đồng thời cả ứng dụng và firmware trên thiết bị.

Trong ghi chú phát hành, Frostsnap cho biết phiên bản mới đã xử lý hai vấn đề bảo mật kể trên. Theo Foresight News đưa tin ngày 27 (giờ Hàn Quốc, lúc 15h42), Frostsnap khẳng định đến nay chưa ghi nhận trường hợp nào người dùng bị mất tài sản.

Lỗi đầu tiên nằm ở chỗ một ứng dụng độc hại có thể can thiệp vào yêu cầu ký giao dịch. Nếu một địa chỉ đầu ra bị gắn nhãn giả là thuộc về ví của người dùng, thiết bị có thể không xác minh lại và cũng không hiển thị cảnh báo trên màn hình xác nhận. Điều này khiến tài sản có nguy cơ bị chuyển tới một địa chỉ mà người dùng không hề nhìn thấy. Frostsnap giải thích lỗ hổng này chỉ có thể bị khai thác khi người dùng dùng phần mềm khác thay vì ứng dụng chính thức để giao tiếp với thiết bị.

Lỗi thứ hai liên quan đến phạm vi khôi phục ví. Nếu địa chỉ nhận tiền thừa (change address) sau một giao dịch nằm ngoài phạm vi quét khi khôi phục, một phần tài sản có thể trông như đã biến mất sau khi khôi phục ví từ bản sao lưu. Frostsnap khẳng định số BTC này vẫn an toàn trên chuỗi khối (on-chain), và bản v0.4.0 sẽ giúp phát hiện cũng như đề xuất sử dụng lại các đồng coin nằm ngoài phạm vi quét trước đó.

Bản cập nhật lần này còn bổ sung cơ chế chống hạ cấp firmware. Thiết bị sẽ từ chối cài đặt firmware phiên bản cũ hơn, đồng thời hiển thị phiên bản firmware hiện tại ngay trên màn hình chờ. Ứng dụng cũng sẽ tự động nhắc người dùng nâng cấp nếu phát hiện thiết bị kết nối đang chạy firmware phiên bản thấp.

Frostsnap sử dụng cấu trúc phân tán bảo mật trên nhiều thiết bị để phục vụ nhu cầu tự quản lý (self-custody) Bitcoin. Với cấu hình 2-trong-3 (2-of-3), cần ít nhất 2 trong 3 thiết bị cùng ký mới có thể chuyển BTC đi. Đây là sản phẩm tập trung vào việc chia nhỏ điểm quản lý khóa, thay vì phụ thuộc vào một ví phần cứng đơn lẻ hay một cụm từ khôi phục (seed phrase) duy nhất.

Ví đa chữ ký giúp mở rộng lựa chọn bảo mật cho những người có nhu cầu tự lưu trữ tài sản, nhưng đòi hỏi màn hình ký và quy trình khôi phục phải hoạt động chính xác tuyệt đối. TokenPost từng đưa tin về một trường hợp vá lỗi firmware trên ví phần cứng khác, cho thấy việc cập nhật lên phiên bản mới nhất luôn gắn liền trực tiếp với an toàn tài sản của người dùng. Frostsnap một lần nữa khuyến nghị người dùng cập nhật đầy đủ cả ứng dụng lẫn firmware thiết bị lên bản v0.4.0.