位于捷克的比特币硬件钱包Trezor在两天前发布了固件更新。这一更新是为了应对使用隔离见证（Segwit）协议的钱包的潜在威胁。隔离见证是一种使比特币交易更便宜、上链数据更少的比特币交易。
不过，尽管Trezor给钱包更新了补丁，但这一漏洞仍然给Trezor用户带来了不少问题，因为这些用户依赖硬件钱包与其他与比特币相关的软件进行交互，比如专注隐私的Wasabi钱包和BTCPay。
虽然该漏洞已被修补，但是更新Trezor并使用Wasabi或BTCPay的Trezor用户将被锁定资金。Wasabi和BTCPay敦促用户在Trezor的此次固件更新和钱包软件间的兼容性问题得到解决之前暂时不要更新。
隔离见证漏洞
大约在三个月前，独立黑客Saleem Rashid发现了这个漏洞，并向包括Trezor和Ledger在内的主要硬件钱包制造商披露了这个漏洞。有了可下载的固件更新，Trezor就彻底解决了这个漏洞。
虽然开发者告诉Decrypt这个漏洞很难被利用，但是人们仍然很关注Trezor的动态，这是因为Trezor在第三方钱包的集成功能中很受欢迎，例如，硬件钱包可以连接到流行的隐私钱包Wasabi和比特币支付门户BTCPay Server。
根据硬件钱包和软件钱包开发人员的说法，这一漏洞是否被利用取决与用户是否打开了以下攻击向量：
运行隔离见证的比特币用户从攻击者那里下载特定的恶意软件。随后受害者执行一次带有两个“输入”的交易：一次输入为10枚比特币，另一次输入5.0001比特币，所以交易总共是15枚比特币，费用为0.0001枚比特币。在确认交易后，用户会遇到一条错误消息，要求他们再次签名。这时，攻击者就可以切换交易输入，一个输入是15枚BTC，另一个输入是0.0001枚比特币。
有了这个切换设置，交易费用就变成了15枚比特币，而交易金额却变成了0.0001枚比特币。但是，要想获得成功，攻击者必须要有矿机，而且矿机还能碰巧挖出包含这笔交易的区块。此外，受害者还必须执行一次至少有两个输入的花费交易，并下载矿工的恶意软件。换句话说，这一漏洞被利用并不容易。
没有被告知该漏洞的硬件钱包制造商NVK提到，针对漏洞发起的攻击“并不是很严重”，但是更新硬件钱包可能会“破坏硬件钱包与其他钱包软件之间的交互”。
Trezor表示它对这一漏洞进行了简单修复。Trezor的首席执行官Pavol Rusnak在一份声明中解释道：
解决办法很简单，我们需要用处理隔离见证交易和非隔离见证交易同样的方式来处理这些交易。这包括钱包在发送新的交易前检查并重新验证之前的所有交易。
本文内容不用于商业目的，如涉及知识产权问题，请权利人联系博为峰小编(021-64471599-8017)，我们将立即处理
