As fabricantes de carteiras de hardware Ledger e Trezor pediram uma divulgação mais responsável das vulnerabilidades de segurança.
Em uma publicação na segunda-feira no X, o diretor de tecnologia da Ledger, Charles Guillemet, disse que a inteligência artificial tornou os bugs mais fáceis de encontrar e explorar. No entanto, alguns pesquisadores estão publicando suas descobertas antes que as correções estejam disponíveis, uma prática que ele chamou de “caça por atenção com o risco de outra pessoa”.
Guillemet pediu aos pesquisadores que relatassem os bugs em particular e concordassem com um cronograma para as correções antes de publicar os detalhes. Ele citou 90 dias como um prazo padrão comum, com flexibilidade dependendo da gravidade da falha e do trabalho necessário para corrigi-la.
“Noventa dias são um compromisso do fornecedor, não apenas do pesquisador”, disse Jan Komárek, chefe de segurança da Trezor, à Cointelegraph.
“Pesquisadores: venham primeiro até nós, concordem com um cronograma, depois publiquem tudo e, se não conseguirmos enviar uma correção dentro dessa janela, publiquem mesmo assim”, disse ele.
A segurança das carteiras de hardware passou a ser examinada após os roubos da Coldcard ultrapassarem US$ 100 milhões e uma violação de dados no fornecedor de remessas da Trezor expor as informações pessoais de dezenas de milhares de clientes.