史上第一GPU漏洞！英伟达170HX矿卡被破解：最高解锁80GB显存

8月3日消息，

通过利用GPU安全协处理器的栈溢出漏洞，研究人员成功绕过了官方的物理熔丝锁定，实现了算力与显存的双重解锁。

消息一经传出，该卡二手市场价格迅速飞涨，目前国内价格已经从300-500元，飙升到3000-4000元，国外市场甚至卖到1500美元（约合人民币10131元）。

CMP 170HX是英伟达于2021年加密货币挖矿热潮期间推出的专用矿卡，搭载与数据中心旗舰A100完全相同的GA100核心及HBM2e显存封装，首发售价约5000美元（约合人民币33772元）。

2022年以太坊转向权益证明（PoS）机制后，该卡迅速退役，二手价格一度跌至400-500美元（约合人民币2880-3600元）。

但实际上CMP 170HX是一张被固件和OTP熔丝联合锁定的阉割版A100，其GA100芯片物理完整，HBM2e显存带宽高达1500 GB/s，

第一、FP32 FMA/MAD吞吐量压制至0.39 TFLOPS，仅为完整A100标称FP32算力（约19.5 TFLOPS）的2%。

第二、显存容量通过固件限制在8GB或10GB，而物理封装的HBM裸片远超此容量。

第三、PCIe从Gen4 x16降至Gen1 x1，实际带宽仅约1GB/s，且PCB上有12对差分信号线的交流耦合电容在出厂时直接省略未焊接。

第四、NVLink多卡互连功能完全禁用。

研究团队在破解该卡时没有尝试直接对抗OTP熔丝的物理锁定，

英伟达GPU的安全模型分为三层：底层是OTP熔丝，记录物理熔断状态。中层是运行在硬件隔离区的固件，负责读取熔丝并执行对应限制。顶层是签名校验与栈保护等内存安全机制，用于阻止中层固件被篡改。

首先是Falcon安全协处理器的栈保护参考值（stack canary）被工具链默认放置在可写的数据段末尾，且该区域没有MPU只读映射，也没有RELRO保护。

攻击者通过签名缓冲区的线性溢出，用一个统一值同时覆盖canary副本和返回地址，使栈校验直接通过。

其次是由于攻击入口是一个无边界检查的DMA传输，签名验证例程通过DMA从主机拉取签名数据时，传输长度由攻击者可控的结构体字段决定，目标缓冲区不做边界校验。

因为DMA传输在代码层面仅为几条寄存器写入指令，常规静态分析工具无法将其识别为一次内存拷贝，导致该漏洞近乎隐形，无法触发代码审计。

最后的缺陷则是Falcon微码在HS模式下的执行环境完全确定，无并发、无中断、无动态内存分配。

研究团队据此搭建了周期精确的离线模拟器，可精确还原溢出瞬间的内存布局，无需实时反馈即可完成攻击。

具体操作路径为，

随后通过PCIe BAR0逐一修改SM速率、显存配置和PCIe速度的寄存器值，由于这些寄存器位于常开电源域，写入后即使功能级复位或重装驱动也不会被清除，

解锁后的实测数据显示，

FP64从0.2 TFLOPS提升至12 TFLOPS，Tensor Core负载幅度提升约15倍，显存从10GB扩展至80GB，经全地址写入不同哈希值再读回的严格方式验证，确认所有地址均映射至真实物理内存，PCIe从Gen1 x1（约250 MB/s）恢复至Gen2 x16（约8 GB/s）。

论文公开后，国内技术社区迅速跟进验证，B站多位UP主展示了在Windows环境下使用解锁后的CMP 170HX运行ComfyUI进行AI图像和视频生成的实际效果，也有用户尝试跑大语言模型推理。

因为GA100核心原生支持标准英伟达驱动，

除此之外社区还发现，不同批次的CMP 170HX使用不同供应商的HBM颗粒，三星16Gb颗粒版本（出厂标称10GB）可解锁至40GB或80GB，SK海力士颗粒版本（出厂标称8GB）理论上限约64GB。

虽然破解后的卡很好用，但购买前需还注意多个风险因素，该论文发表至今不足两个月，破解的长期稳定性、持续负载下的温度与显存错误率等均缺乏独立第三方测试数据。

每张卡的芯片缺陷区域分布不同，

原卡的机房强制风冷设计在家用机箱中通常需要改装水冷散热。

此外也不排除部分商家可能借破解消息抬价，实际出货为未解锁或无法解锁的卡。