Kinakalas namin ang OneKey bago ito ipadala.

Ang Anzen Lab ay ang in-house na security team ng OneKey. Ginagawan namin ang hardware, ang firmware, at ang mga app bago ipadala, kino-coordinate ang disclosure kasama ang mga panlabas na researcher, at inilalathala ang mga tool at write-up sa likod ng gawain.

Mag-ulat ng kahinaan sa seguridad
Secure ElementSecure boot chainFirmware imageBLE stackUSB-C stackTransaction parserCompanion appInpage providernpm supply chainRecovery flowSecure ElementSecure boot chainFirmware imageBLE stackUSB-C stackTransaction parserCompanion appInpage providernpm supply chainRecovery flow
Secure Element

Mga tala mula sa lab

Mga pagsusuri sa banta, pag-aaral ng exploit, at mga insidente sa ecosystem mula sa OneKey Anzen.

Learn

Security Blind Spots of Hardware Wallets: Analyzing the Covert Threat of Supply Chain Attacks

Learn

Ledger Recover: A Recovery Scheme That No Longer Fits the Definition of Self Custody

Learn

How did 9 million dollars disappear? A Complete Breakdown of the Yearn Exploit

Limang bagay na pinagtatrabahuhan namin. Nananatiling pareho ang trabaho: ang iyong mga key ay hindi kailanman umaalis sa device.

Nakatuon kami kung saan talaga napipinsala ang mga self-custody na user: ang silikon, ang firmware, ang companion app, at ang open-source na supply chain na sinasakyan ng buong stack.

  • Hardware

    Pagsusuri ng seguridad ng hardware

    Side-channel, glitching, fault injection, at gawaing physical-attack sa mga OneKey device at mga karibal na wallet. Sinusubukan muna naming sirain ang sarili naming mga bagay.

  • Firmware

    Research sa firmware at secure-boot

    Reverse engineering, mga audit ng signature-verification, mga pagsusuri ng integridad ng secure-boot, at pag-validate ng update-flow sa bawat pamilya ng device na ipinapadala namin.

  • App at Web

    Internal pentest at red team

    Tuloy-tuloy na pagsubok sa companion app, sa in-app browser, sa inpage provider, at sa backend. Ang team na naglulunsad ng code ang siya ring team na sumisira nito.

  • Supply chain

    Threat at supply-chain intelligence

    Binabantayan namin ang kinukuha ng wallet stack: mga npm registry, build tooling, mga AI coding agent. Kapag may nasira sa upstream, mabilis kaming nagpa-patch.

  • Disclosure

    Coordinated disclosure

    Pampublikong bug-bounty sa Bugrap, isang security inbox sa [email protected], isang PGP key. Kinikilala namin ang mga panlabas na researcher at inilalathala ang aming natuklasan.

  • Adjacent

    Kung saan kami nag-aambag

    Mga secure development practice, internal na pagsasanay sa seguridad, pagsusuri ng smart-contract, at pag-open-source ng mga tool na nagmula sa aming pang-araw-araw na trabaho.

Mga OneKey hardware wallet — ang security boundary.

Inilalarawan ng dokumentong ito ang threat model para sa mga OneKey hardware wallet: ang mga security goal na nilalayong makamit ng device, ang mga umaatake at banta na dapat nitong tugunan, at ang mga trust assumption kung saan nakasalalay ang modelo.

Pagkakumpidensyal ng key

Ang mga seed phrase, private key, at ang kanilang mga kakayahan sa derivation ay nabubuo at ginagamit lamang sa loob ng device. Hindi mababasa ang mga ito ng lahat ng panlabas na bahagi.

Integridad ng nilalamang pinipirmahan

Ang mga kritikal na field na ipinapakita sa screen ng device (halaga, address, chain ID, contract method, allowance) ay dapat na semantikong tugma sa transaksyon o mensahe na sa huli ay isinusumite ng device para pirmahan.

Pagiging tunay ng firmware

Ang boot chain, pangunahing firmware, BLE firmware, at mga release artefact ay nagpapanatili ng makikilalang pinagmulan. Anumang pagpapalit, hindi pagtutugma, o rollback ay dapat matukoy ng device o ng user, at ang pagkakatugma ng firmware sa source ay maaaring independiyenteng ma-verify.

Proteksyon ng key kapag nawala ang pisikal na kontrol

Matapos mawala o manakaw ang device, ang PIN brute-force, state rollback, o maling paggamit ng mga interface ay hindi dapat kayang mabawi nang maaasahan ang mga key o makagawa ng mga hindi awtorisadong pirma.

Paano kami nagsusuri.

Apat na linya ang pinagtatrabahuhan namin ngayon: hardware fault injection, side-channel analysis, firmware fuzzing, at AI-assisted na code review. Susunod ang mga larawan ng bench at mas mahahabang write-up habang natatapos ang pagbuo ng lab.

Hardware

Fault injection

Voltage at electromagnetic glitching, laser fault injection, at clock manipulation laban sa sarili naming mga device at mga karibal na wallet. Dinodokumento namin ang setup ng rig, ang mga target, at ang mga natuklasan habang naga-online ang bench.

Hardware

Side-channel analysis

Power-trace capture, pagsusuri ng electromagnetic emission, at pagsukat ng timing-side-channel laban sa mga signing operation at pag-input ng PIN. Ginagamit kapwa sa aming sariling hardware at sa mga competitive teardown review.

Firmware

Firmware fuzzing

Boundary fuzzing ng mga bootloader update path, USB at BLE protocol stack, at on-device transaction parser (PSBT, EIP-712, contract call). Mga naipa-reproduce na harness sa bawat pamilya ng device na ipinapadala namin.

AI + code

Automated AI audit

Bawat pre-release diff ay sinusuri ng isang frontier model kasabay ng mga human reviewer. Ang pagpapatakbo ng maraming model nang sabay-sabay ay nagbabawas ng blind spot mula sa anumang iisang auditor. Anumang matuklasan ng alinmang panig ay pumapasok sa parehong triage queue.

Dalhin sa amin ang isang tunay na bug. Nagbabayad kami at kinikilala ka namin.

Nagpapatakbo ang OneKey ng pampubliko, bayad na bounty sa Bugrap na sumasaklaw sa hardware, firmware, ang companion app, at ang backend. Ang scope, severity matrix, mga reward tier, at mga pamantayan sa pag-uulat ay nasa Bugrap. Ang pahinang iyon ang source of truth; hindi ito ang isang ito.

Isumite sa Bugrap

Pahina ng programa
bugrap.io/bounties/OneKey ↗
Security inbox
[email protected]
PGP public key
naghihintay ng bagong key
Disclosure
coordinated

Inaatake muna namin ang sarili naming produkto.

Ang Anzen Lab ay isang maliit na in-house na team — mga engineer ng seguridad sa hardware, firmware, at application — na nakikipagtulungan sa isang umiikot na hanay ng mga panlabas na researcher at audit partner.

Sinadya naming makitid ang aming charter: gawing mas ligtas ang mga produkto ng OneKey. Kapag kapaki-pakinabang ang gawain sa mas malawak na self-custody at open-source na komunidad, inilalathala namin ito sa ilalim ng parehong pangalan — mga tool, metodolohiya, post-mortem.

Ang "Anzen" (安全) ay ang salitang ginagamit namin sa loob para sa kung ano ang sinusubukan naming protektahan. Ito lamang ang batayan ng pagsukat sa team na ito.

Paano kami nakikipagtulungan sa mga researcher.

Bawat kapani-paniwalang ulat ay nakakakuha ng tugon mula sa isang tao — isang security engineer. Kino-coordinate namin ang mga timeline ng fix, kinikilala ang nag-ulat sa bulletin (anonimo kung hihilingin), at nagbabayad sa pamamagitan ng bounty program sa halip na makipagtawaran nang isa-isa.

Paano kami nakikipagtulungan sa mga audit partner.

Nagpapadala kami ng mga pre-release commit sa mga panlabas na auditor bago ang bawat pangunahing paglabas ng device o app, at inilalathala namin ang mga resultang ulat kapag naremedyuhan na ang mga natuklasan.

Kumukuha kami ng tao.

Pagsusuri ng hardware, reverse engineering ng firmware, internal pentest, red team. Kung nakasira ka na ng wallet noon — amin man o sa iba — gusto naming makausap ka.