La falla del portafoglio hardware consente agli aggressori di trattenere le Cripto per ottenere un riscatto senza toccare il dispositivo

Una vulnerabilità recentemente scoperta in due noti portafogli hardware avrebbe consentito agli aggressori di trattenere le Criptovaluta degli utenti a scopo di riscatto senza doversi NEAR al dispositivo.

• SpostamentoCripto, l'azienda svizzera che produce il portafoglio hardware BitBox,ha rivelato un potenziale attacco di riscatto man-in-the-middlevettore sul rivaleTrezor E Mantieni la chiaveportafogli hardware.
• Uno sviluppatore di ShiftCrypto noto comeMarchio ha scoperto la vulnerabilità nella primavera del 2020 e ne ha informato i team Trezor e KeepKey rispettivamente ad aprile e maggio. Un rappresentante di Trezor ha confermato a CoinDesk che l'attacco "è solo teorico e non è mai stato eseguito in pratica".
• ShiftCrypto non ha lasciato intendere che l'attacco sia stato effettivamente effettuato, ma ha solo affermato che era possibile.
• Trezorha corretto la vulnerabilità per i suoi portafogli hardware Model ONE e Model T KeepKey (che è un fork, o copia, di Trezor e quindi esegue un codice quasi identico) non ha apportato una correzione, secondo il team di ShiftCrypto, che ha affermato che il produttore ha citato "elementi con priorità più elevata" come motivo. CoinDesk ha contattato KeepKey per chiedere al team perché ritenevano il vettore di attacco di bassa priorità, ma non ha ricevuto risposta al momento della stampa.
• L'attacco ipotetico prevede una passphrase opzionale che gli utenti Trezor e KeepKey possono impostare per sbloccare il loro dispositivo al posto del solito codice PIN. Entrambi i portafogli hardware richiedono una connessione USB con un computer o un dispositivo mobile per gestire gli account. Quando si collega il portafoglio hardware all'altro dispositivo, un utente digiterebbe la passphrase in quest'ultimo per accedere al primo.
• Il problema è che né Trezor né KeepKey verificherebbero la passphrase inserita dagli utenti. La verifica richiederebbe di visualizzare la passphrase sullo schermo del portafoglio in modo che l'utente possa assicurarsi che corrisponda a ciò che ha digitato sul computer.
• Senza questa protezione in atto, un aggressore man-in-the-middle avrebbe potuto modificare le informazioni trasmesse tra Trezor o KeepKey e i loro utenti importando una nuova passphrase nel portafoglio. L'utente non ne sarebbe stato più informato, poiché non avrebbe T controllare che la passphrase sul dispositivo corrispondesse a ONE sullo schermo del computer.
• Dopo aver inserito la vecchia passphrase, l'utente aprirebbe l'interfaccia del portafoglio hardware sul computer come al solito. Ogni indirizzo generato, tuttavia, sarebbe sotto il controllo della nuova passphrase impostata dall'hacker, quindi l'utente del portafoglio hardware non sarebbe in grado di spendere i fondi bloccati in questi indirizzi.
• L'attaccante, tuttavia, non avrebbe accesso a questi indirizzi perché sono comunque derivati dalla frase seed del portafoglio, quindi possono essere tenuti solo per un riscatto. Quindi, anche se l'hacker avesse accesso alla vera passphrase, avrebbe bisogno della frase seed o dell'accesso al dispositivo stesso.
• Questo attacco di riscatto potrebbe essere eseguito contro più utenti contemporaneamente e più criptovalute potrebbero essere prese in ostaggio contemporaneamente.
• Trezor E Mantieni la chiavehanno avuto problemi con le vulnerabilità in passato, ma la maggior parte di queste richiedeva l'accesso fisico ai portafogli hardware per avere successo con un paio dieccezioniONE scoperto dal concorrente ha aperto la strada consentendo all'ipotetico aggressore di lavorare da remoto.

AGGIORNAMENTO (3 settembre, 17:31 UTC): Aggiunti commenti di Trezor nel terzo paragrafo.