史上第一GPU漏洞！英伟达170HX矿卡被破解：最高解锁80GB显存

快科技8月3日消息，近日亚利桑那州立大学研究员公开了针对英伟达CMP 170HX专用矿卡的破解方案。通过利用GPU安全协处理器的栈溢出漏洞，研究人员成功绕过了官方的物理熔丝锁定，实现了算力与显存的双重解锁。

破解后该卡最高显存可以达到80GB，AI算力提升约31倍，消息一经传出，该卡二手市场价格迅速飞涨，目前国内价格已经从300-500元，飙升到3000-4000元，国外市场甚至卖到1500美元（约合人民币10131元）。

矿卡起源与安全机制

CMP 170HX是英伟达于2021年加密货币挖矿热潮期间推出的专用矿卡，搭载与数据中心旗舰A100完全相同的GA100核心及HBM2e显存封装，首发售价约5000美元（约合人民币33772元）。

2022年以太坊转向权益证明（PoS）机制后，该卡迅速退役，二手价格一度跌至400-500美元（约合人民币2880-3600元）。

英伟达官方此前声明，该卡通过OTP熔丝（一次性可编程熔丝，物理熔断后不可恢复）在出厂时施加了多层硬件限制，理论上不可逆转。

但实际上CMP 170HX是一张被固件和OTP熔丝联合锁定的阉割版A100，其GA100芯片物理完整，HBM2e显存带宽高达1500 GB/s，但出厂时被施加了四道硬限制：

第一、FP32 FMA/MAD吞吐量压制至0.39 TFLOPS，仅为完整A100标称FP32算力（约19.5 TFLOPS）的2%。

第二、显存容量通过固件限制在8GB或10GB，而物理封装的HBM裸片远超此容量。

第三、PCIe从Gen4 x16降至Gen1 x1，实际带宽仅约1GB/s，且PCB上有12对差分信号线的交流耦合电容在出厂时直接省略未焊接。

第四、NVLink多卡互连功能完全禁用。

破解原理

研究团队在破解该卡时没有尝试直接对抗OTP熔丝的物理锁定，而是从英伟达GPU的安全架构本身找到了突破口。

英伟达GPU的安全模型分为三层：底层是OTP熔丝，记录物理熔断状态。中层是运行在硬件隔离区的固件，负责读取熔丝并执行对应限制。顶层是签名校验与栈保护等内存安全机制，用于阻止中层固件被篡改。

该论文展示的攻击链利用了其中三个设计缺陷，首先是Falcon安全协处理器的栈保护参考值（stack canary）被工具链默认放置在可写的数据段末尾，且该区域没有MPU只读映射，也没有RELRO保护。

攻击者通过签名缓冲区的线性溢出，用一个统一值同时覆盖canary副本和返回地址，使栈校验直接通过。

其次是由于攻击入口是一个无边界检查的DMA传输，签名验证例程通过DMA从主机拉取签名数据时，传输长度由攻击者可控的结构体字段决定，目标缓冲区不做边界校验。

因为DMA传输在代码层面仅为几条寄存器写入指令，常规静态分析工具无法将其识别为一次内存拷贝，导致该漏洞近乎隐形，无法触发代码审计。

最后的缺陷则是Falcon微码在HS模式下的执行环境完全确定，无并发、无中断、无动态内存分配。

实操方法

研究团队据此搭建了周期精确的离线模拟器，可精确还原溢出瞬间的内存布局，无需实时反馈即可完成攻击。

具体操作路径为，利用无界DMA溢出漏洞在HS模式下劫持程序计数器，获取HS权限后重写特权级掩码（PLM），将原本只读的熔丝覆盖寄存器开放为可写。

随后通过PCIe BAR0逐一修改SM速率、显存配置和PCIe速度的寄存器值，由于这些寄存器位于常开电源域，写入后即使功能级复位或重装驱动也不会被清除，整个解锁操作只需执行一次。

解锁后性能数据

解锁后的实测数据显示，FP32算力从0.39 TFLOPS提升至94 TFLOPS（原文称提升约31倍，但按原始数据计算约为241倍，差异可能源于不同测试精度或基准口径，论文未做进一步说明）。

FP64从0.2 TFLOPS提升至12 TFLOPS，Tensor Core负载幅度提升约15倍，显存从10GB扩展至80GB，经全地址写入不同哈希值再读回的严格方式验证，确认所有地址均映射至真实物理内存，PCIe从Gen1 x1（约250 MB/s）恢复至Gen2 x16（约8 GB/s）。

国内影响

论文公开后，国内技术社区迅速跟进验证，B站多位UP主展示了在Windows环境下使用解锁后的CMP 170HX运行ComfyUI进行AI图像和视频生成的实际效果，也有用户尝试跑大语言模型推理。

因为GA100核心原生支持标准英伟达驱动，解锁后的卡在Windows和Linux下均可被系统直接识别为计算设备，无需额外修改驱动。

除此之外社区还发现，不同批次的CMP 170HX使用不同供应商的HBM颗粒，三星16Gb颗粒版本（出厂标称10GB）可解锁至40GB或80GB，SK海力士颗粒版本（出厂标称8GB）理论上限约64GB。

虽然破解后的卡很好用，但购买前需还注意多个风险因素，该论文发表至今不足两个月，破解的长期稳定性、持续负载下的温度与显存错误率等均缺乏独立第三方测试数据。

每张卡的芯片缺陷区域分布不同，并非所有卡都能稳定解锁至80GB，原卡的机房强制风冷设计在家用机箱中通常需要改装水冷散热。

此外也不排除部分商家可能借破解消息抬价，实际出货为未解锁或无法解锁的卡。

编辑：青山

【本文结束】如需转载请务必注明出处:快科技