La société de sécurité Crypto Unciphered revendique la capacité de pirater physiquement le portefeuille Trezor T

Une entreprise de professionnels de la cybersécurité spécialisée dans la récupération de Cryptomonnaie perdues ou volées affirme avoir trouvé un moyen de pirater le populaire portefeuille matériel Trezor T une fois qu'il est en leur possession physique.

Unciphered a déclaré à CoinDesk, lors d'une longue série de conversations et par courrier électronique, qu'il avait utilisé une « vulnérabilité matérielle non corrigible avec la puce STM32 qui nous permet de vider la mémoire flash intégrée et les données programmables une seule fois (OTP) ».

Tout cela est assez technique, mais l'équipe a réalisé une démonstration en laboratoire – et l'a documentée dans une vidéo – montrant qu'elle était capable de pirater un portefeuille Trezor T fourni par CoinDesk et de récupérer avec succès notre phrase de départ et notre code PIN. a déjà piraté EthereumWallet et récupéré les Crypto verrouillées, bien qu'ils prétendent sur leur site Web qu'ils «prend en charge tous les portefeuilles du marché.”

Trezor a déclaré à CoinDesk que son équipe n'avait T suffisamment de détails sur l'attaque spécifique effectuée par Unciphered pour répondre pleinement, mais a noté qu'elle ressemblait à une « attaque de rétrogradation RDP », qui a été publiquement signalée comme un risque il y a trois ans.

Un représentant de presse du Maker de portefeuilles matériels a déclaré qu'ils n'étaient au courant d'aucune tentative d'Unciphered de contacter directement, même si, "comme communiqué sur notre siteblog« Début 2020, les attaques de rétrogradation RDP nécessitent le vol physique d'un appareil, des connaissances technologiques extrêmement sophistiquées et un équipement avancé. »

Trezor a ajouté que « même avec ce qui précède, les Trezor peuvent être protégés par une phrase secrète forte, ce qui ajoute une autre couche de sécurité qui rend une rétrogradation RDP inutile. »

Les portefeuilles matériels sont soudainement au centre de l'attention en raison de la récente réaction publique contre le Maker rival Ledger concernant son projet de portefeuille optionnel « option de récupération », ce qui a exaspéré certains utilisateurs qui avaient compris que l’appareil était totalement isolé. De nombreux experts en sécurité Crypto de longue date ont recommandé les portefeuilles matériels comme un endroit plus sûr pour stocker des actifs que de les conserver sur des bourses – en particulier après l'effondrement de la bourse FTX de Sam Bankman-Fried l'année dernière – mais les dernières révélations montrent que les appareils T non plus infaillibles.

Sur le même sujet : Le fournisseur de portefeuilles Crypto Ledger retarde son service de récupération de clés suite à un tollé.

Unciphered a déclaré qu'il T confirmerait ni ne nierait si son piratage du Trezor T serait considéré comme une rétrogradation RDP, citant des « engagements actuels et des accords de non-divulgation » qui restreignent l'élaboration de « la façon dont cette chaîne d'exploitation fonctionne à ce moment ».

« De plus, toute Déclaration de transparence technique exposerait les clients de Satoshilabs à un risque potentiel jusqu'à ce que des mesures d'atténuation telles qu'une nouvelle puce soit utilisée autre que la STM32 actuellement utilisée », selon Unciphered.

Unciphered a souligné que, même si Trezor est conscient que le modèle Trezor T présente une vulnérabilité dans sa puce STM32, la société n'a rien fait pour résoudre ce problème depuis l'effort initial visant à faire connaître le risque.

« Le fait demeure qu'à travers cet article, ils essaient de faire porter la responsabilité de sécuriser leur appareil au client plutôt que de prendre la responsabilité d'admettre que leur appareil est fondamentalement peu sûr », a écrit Unciphered dans un e-mail à CoinDesk.

Selon Trezor : « Contrairement aux affirmations d'Unciphered, Trezor a déjà pris des mesures importantes pour résoudre ce problème avec le développement dupremier élément sécurisé vérifiable et transparent au mondepar l'intermédiaire de la société sœur Tropic Square. »

Options alternatives aux portefeuilles matériels

Il convient de souligner que le vecteur d’attaque d’Unciphered ne fonctionne qu’avec l’appareil en possession physique du pirate.

« La sécurité, c'est que la menace vient souvent de l'intérieur », explique Nick Federoff, responsable marketing chez Unciphered. « Nous pouvons être notre pire ennemi. C'est donc un élément essentiel. »

Lorsqu'un utilisateur configure un portefeuille matériel, le portefeuille génère un ensemble aléatoire de 12 ou 24 mots, appelé phrase de départ, qui permet d'accéder aux actifs du portefeuille.

Dans le cadre des efforts d'Unciphered pour démontrer ses capacités, les responsables de l'entreprise ont demandé à CoinDesk d'acquérir un nouveau portefeuille Trezor T , de le configurer avec notre propre phrase de cryptage et de l'enregistrer en lieu sûr. Nous l'avons ensuite envoyé par courrier sécurisé au laboratoire d'Unciphered, où ils ont procédé à son piratage (enregistrement). quelques étapes sur une vidéo) et avons finalement pu récupérer notre phrase de départ et notre code PIN. L'étape supplémentaire consistant à impliquer CoinDesk a été suggérée par l'équipe d'Unciphered afin de garantir que la procédure n'était T falsifiée ou que l'appareil n'avait T été compromis par un ancien propriétaire.

L'appareil est vendu au détail à 219 $ sur le site de la société.site web.

Unciphered a reconnu ne pas avoir contacté Trezor pour l'informer de la vulnérabilité avant de tenter de la publier dans un article sur CoinDesk; ces pirates informatiques « white hat » ont souvent tendance à coopérer davantage. « Unciphered n'a pas contacté Trezor, que ce soit via notre programme de Déclaration de transparence responsable ou autrement », a déclaré un porte-parole de Trezor.

Unciphered a déclaré à CoinDesk qu'ils n'avaient pas contacté Trezor car « nos obligations sont envers les consommateurs plutôt qu'envers les vendeurs, qui ont intérêt à vendre davantage de produits, quelle que soit la vulnérabilité que ces produits rendent les clients qui les utilisent. »

Sur le même sujet : Portefeuilles Crypto HOT ou froids : quelles sont les différences ?