Публикация

AI 开始审计硬件钱包，新风险也在向配置文件蔓延 据 Decrypt，瑞士硬件钱包厂商 BitBox 用前沿 AI 模型审计固件，发现两个严重漏洞外加一个 bootloader 问题。bootloader 漏洞需攻击者先钓鱼诱导用户装假 App 并解锁设备，才能加载恶意固件；另一个是 Multi 版设置前的内存损坏缺陷，配合受控计算机可实现任意代码执行。BitBox 称无实际利用证据，种子从未受影响。 同时据 The Hacker News，MCP 服务器可以通过明文配置文件、过度授权的访问权限以及 prompt injection 暴露企业机密，往往在安全团队介入前就已存在。 这两条指向同一件事：当 Agent 具备支付能力，密钥不只在钱包固件里，也散布在配置文件、环境变量、会话上下文中。攻击面从"能否攻破硬件"扩展到"能否读取工具的配置目录"。 机构侧同期在动。据 The Block 与 Decrypt，花旗预计今年晚些时候推出比特币托管，纳入新的 Custody+ 平台，机构客户可在同一框架下持有比特币和传统资产。 #AI #Web3 #MPC #硬件钱包 #MCP