A hardveres tárcák gyártói szerint az AI-korszakban új szabályokra van szükség a hibák bejelentésére.
Az önálló kriptotárolás egyik legfontosabb pillére a bizalom: a felhasználó elhiszi, hogy a hardveres tárca megvédi a privát kulcsait, a gyártó pedig abban bízik, hogy a biztonsági kutatók nem teszik közzé túl korán a veszélyes hibákat.
A mesterséges intelligencia azonban felgyorsította a sebezhetőségek felderítését, és ezzel együtt a felelős közzétételről szóló vita is új lendületet kapott.
Charles Guillemet, a Ledger technológiai vezetője az X-en arra figyelmeztetett, hogy az AI-eszközök ma már olyan hibákat is rövid idő alatt képesek megtalálni, amelyek korábban hetekig vagy hónapokig tartó manuális elemzést igényeltek.
A probléma szerinte akkor kezdődik, amikor egy kutató a javítás elkészülte előtt hozza nyilvánosságra a részleteket. Ezt a gyakorlatot úgy jellemezte, mint amikor valaki mások kockázatával próbál figyelmet szerezni.
A Ledger álláspontja egybeesik a vállalat hibavadászati programjának irányelveivel: a kutatóknak először privát csatornán kell jelezniük a hibát, a gyártónak pedig lehetőséget kell kapnia annak ellenőrzésére és kijavítására. A nyilvános technikai részletek csak ezután jelenhetnének meg.
A 90 nap nem egyszerű türelmi idő
A biztonsági iparágban gyakran alkalmazott 90 napos határidő szolgálhat kiindulópontként, de nem minden sérülékenység kezelhető ugyanazzal a naptárral.
Egy egyszerű szoftveres javítás néhány nap alatt elkészülhet, egy firmware-frissítés vagy a gyártási folyamatot érintő hardveres probléma viszont ennél jóval hosszabb tesztelést igényelhet.
Jan Komárek, a Trezor biztonsági vezetője szerint a 90 napos vállalás nem kizárólag a kutató kötelezettsége. A gyártónak is felelősséget kell vállalnia azért, hogy a bejelentést kivizsgálja, elkészítse a javítást, majd azt biztonságosan eljuttassa a felhasználókhoz.
A Trezor vezetője azt az együttműködési modellt tartja megfelelőnek, amelyben a kutató először jelenti a hibát, a két fél egyezteti a közzététel időpontját, majd a részletes technikai beszámoló csak a javítás után jelenik meg.
Ha a vállalat a megállapodott idő alatt nem készül el, a kutató ennek ellenére nyilvánosságra hozhatja az információkat. Ez megakadályozza, hogy egy gyártó korlátlan ideig halogassa a javítást, miközben a felhasználók nem tudnak a kockázatról.
A Coldcard-incidens megmutatta, mekkora lehet egy rejtett hiba ára
A vita nem elméleti. 2026. július 30-án bitcoinok kezdtek eltűnni olyan tárcákból, amelyeket a Coldcard bizonyos firmware-verzióival hoztak létre.
A Trezor részletes elemzése szerint a probléma a véletlenszám-generálással függött össze: a hibásan létrehozott helyreállító kifejezések elvileg kiszámíthatatlannak kellett volna lenniük, a gyakorlatban azonban támadók számára kitalálhatóvá váltak.
A Galaxy Research elemzése alapján az első támadási hullámban nagyjából 1200 címet ürítettek ki körülbelül 41 perc alatt.
A későbbi tranzakciókkal együtt az ismert veszteség legalább 1367 bitcoinra, vagyis hozzávetőleg 88 millió dollárra nőtt.
Más piaci becslések már 100 millió dollár feletti összegről beszélnek, miközben további, nem minden esetben megerősített károk is felmerültek.
A történet különösen kellemetlen a hosszú távú bitcoinbefektetők számára. A támadók nem frissen vásárolt, aktívan mozgatott pénzeket céloztak, hanem olyan címeket is, amelyek évekig érintetlenül tartották az eszközöket.
A „hidegtárolás” tehát önmagában nem jelent abszolút védelmet: a biztonság a kulcsgenerálástól a firmware-en át a biztonsági frissítésekig egy hosszú lánc minden elemétől függ.
A Trezor ugyanakkor külön jelezte, hogy a saját eszközein eredetileg létrehozott tárcákat nem érinti a Coldcard hibája.
Azoknak viszont, akik korábban Coldcardon generáltak tárcát, majd később Trezor készüléken állították helyre, új tárca létrehozását és az összegek áthelyezését javasolta.
Nemcsak a firmware jelenthet kockázatot
A hardveres tárcák körüli biztonsági problémák az elmúlt időszakban más irányból is megmutatkoztak. A Trezor egyik logisztikai szolgáltatójánál történt adatbiztonsági incidens során ügyféladatok kerültek illetéktelenekhez.
A vállalat első közlése szerint neveket, e-mail-címeket, telefonszámokat és szállítási címeket is érintett az eset, később pedig további amerikai ügyfelekről is beszámolt.
A Trezor hivatalos tájékoztatása szerint maga a készülék, a felhasználói kriptovaluta és a vállalat rendszere nem került közvetlen veszélybe.
A kiszivárgott szállítási adatok azonban önmagukban is érzékenyek lehetnek, hiszen egy támadó következtethet arra, hogy egy adott címen hardveres tárcát vásároltak.
Ez a kockázat Magyarországon és a közép-európai régióban sem elhanyagolható. A kriptotárca megrendelésekor megadott cím nem csupán adatvédelmi kérdés: nagyobb bitcoinállomány esetén akár célzott adathalászathoz, zsaroláshoz vagy fizikai fenyegetéshez is felhasználható.
Következésképpen a gyártóknak nemcsak a készülék kriptográfiai védelmét, hanem az ügyféladatok kezelését és a beszállítói láncot is ugyanilyen szigorúan kell ellenőrizniük.
Az AI felgyorsítja a kutatást, de a felelősséget nem veheti át
A mesterséges intelligencia valóban új szintre emelheti a biztonsági tesztelést. Gyorsabban képes végigvizsgálni kódrészleteket, összefüggéseket keresni és potenciális hibákat rangsorolni.
Ugyanakkor a Ledger saját bug bounty szabályzata is hangsúlyozza, hogy az automatizált vagy nagyrészt AI által készített jelentések önmagukban nem elegendők. A kutatónak értenie kell a hiba okát, következményeit, és működő bizonyítékot vagy reprodukálható lépéseket kell bemutatnia.
Ennek ellenére a nyilvánosságra hozatal továbbra is kulcsfontosságú. Ha egy vállalat nem reagál, nem kommunikál érdemben, vagy nem ad világos határidőt a javításra, a kutatók jogosan dönthetnek a teljes disclosure mellett.
A felelős közzététel ezért nem azt jelenti, hogy a gyártó automatikusan időt nyer, hanem azt, hogy mindkét fél konkrét vállalásokat tesz.
A hardveres tárcák gyártói most azt próbálják elérni, hogy az AI által felgyorsított hibakeresés ne forduljon a felhasználók ellen. A következő hónapokban minden eddiginél fontosabb lesz a gyors, átlátható és ellenőrizhető kommunikáció.
A biztonsági kutatók figyelméért lehet versenyezni, a felhasználók vagyonának kockázatával azonban nem.
Olvastad már? A kriptoelfogadás már nem csak spekulációról szól
Kriptoworld.hu szerkesztője, a Kriptoworld.hu alapítója
LinkedIn | X (Twitter) | Facebook
A Kriptoworld.hu alapítójaként és szerkesztőjeként írásaiban azt vizsgálom, hogyan alakítják át a gazdasági és technológiai változások az emberek döntéseit, biztonságérzetét és jövőképét. Olyan nézőpontból írok, amely a gyors hírek mögötti következményeket és kérdéseket keresi. Hiszek abban, hogy a kriptovilágról nem csak technikailag, hanem emberi nyelven is lehet hitelesen beszélni. Írásaim célja nem tanácsadás, hanem megértés: segíteni eligazodni egy olyan világban, ahol a pénz, a technológia és a bizalom egyszerre változik.
📅 Megjelenés: 2026. szeptember 9. • 🕓 Utolsó frissítés: 2026. szeptember 8.
✉️ Kapcsolat: [email protected]
Tájékoztatás: A kriptoworld.hu oldalon található információk és elemzések a szerzők magánvéleményét tükrözik. A jelen oldalon megjelenő írások, cikkek nem valósítanak meg a 2007. évi CXXXVIII. törvény (Bszt.) 4. § (2). bek 8. pontja szerinti befektetési elemzést és a 9. pont szerinti befektetési tanácsadást.
Bármely befektetési döntés meghozatala során az adott befektetés megfelelőségét csak az adott befektető személyére szabott vizsgálattal lehet megállapítani, melyre a jelen oldal nem vállalkozik és nem is alkalmas. Az egyes befektetési döntések előtt éppen ezért tájékozódjon részletesen és több forrásból, szükség esetén konzultáljon befektetési tanácsadóval!
A cikkekben megjelenő esetleges hibákért téves információkból eredendő anyagi károkért a kriptoworld.hu felelősséget nem vállal.