Ledger y Trezor piden una divulgación responsable de las vulnerabilidades de seguridad

Los fabricantes de monederos hardware Ledger y Trezor están pidiendo a los investigadores de seguridad que adopten un enfoque más responsable en la divulgación de vulnerabilidades. El director de tecnología de Ledger, Charles Guillemet, declaró en la plataforma X que la inteligencia artificial ha facilitado la detección y explotación de vulnerabilidades, pero algunos investigadores revelan detalles antes de que se publique una corrección, lo que calificó de "explotar los riesgos de otros para llamar la atención". Guillemet instó a los investigadores a informar primero de las vulnerabilidades de forma privada y a acordar un plazo para las correcciones antes de revelar los detalles públicamente, sugiriendo 90 días como período predeterminado común, al tiempo que indicó que esto podría ajustarse de forma flexible en función de la gravedad de la vulnerabilidad y de la cantidad de trabajo necesaria para la corrección. El jefe de seguridad de Trezor, Jan Komárek, dijo a Cointelegraph que los 90 días son un compromiso con los proveedores, no solo una obligación para los investigadores. Sugirió que los investigadores se pongan primero en contacto con los proveedores para acordar un plazo y, si el proveedor no completa la corrección dentro de ese período, pueden optar por revelarla públicamente. El contexto de esta declaración es la reciente atención prestada a la seguridad de los monederos hardware: el incidente de robo de Coldcard implicó más de 100 millones de dólares, y una violación de datos en el proveedor logístico de Trezor también afectó a la información personal de decenas de miles de clientes.