Поділитися цією статтею
Помилка апаратного гаманця дозволяє зловмисникам тримати Крипто для отримання викупу, не торкаючись пристрою
Гіпотетична атака типу «людина посередині» дозволила б зловмиснику отримати Крипто користувачів за викуп на апаратних гаманцях Trezor і KeepKey.
Зробіть нас пріоритетним джерелом у Google
Нещодавно розкрита вразливість у двох популярних апаратних гаманцях дозволила б зловмисникам утримувати Криптовалюта користувачів для отримання викупу, не NEAR пристрою.
Продовження Нижче
Не пропустіть жодної історії.Підпишіться на розсилку The Protocol вже сьогодні. Переглянути всі розсилки
- ShiftCrypto, швейцарська компанія, яка виробляє апаратний гаманець BitBox, розкрив потенційну атаку з метою викупу вектор на суперника Трезор і KeepKey апаратні гаманці.
- Розробник ShiftCrypto, відомий як Марко виявили вразливість навесні 2020 року та повідомили про це команди Trezor і KeepKey відповідно у квітні та травні. Представник Trezor підтвердив CoinDesk , що атака «лише теоретична і ніколи не проводилася на практиці».
- ShiftCrypto не припускав, що атака була здійснена, лише те, що атака була можливою.
- Трезор виправлено вразливість для апаратних гаманців Model ONE і Model T За словами команди ShiftCrypto, KeepKey (який є розгалуженням або копією Trezor і, отже, запускає майже ідентичний код), не вніс виправлення, оскільки виробник назвав причиною «елементи з вищим пріоритетом». CoinDesk звернувся до KeepKey, щоб запитати команду, чому вони вважали вектор атаки низьким пріоритетом, але не отримали відповіді до моменту преси.
- Гіпотетична атака передбачає додаткову парольну фразу, яку користувачі Trezor і KeepKey можуть встановити для розблокування свого пристрою замість звичайного PIN-коду. Для керування обліковими записами обидва апаратні гаманці потребують USB-з’єднання з комп’ютером або мобільним пристроєм. Підключаючи апаратний гаманець до іншого пристрою, користувач вводить парольну фразу в останньому, щоб отримати доступ до першого.
- Проблема полягає в тому, що ні Trezor, ні KeepKey не перевірятимуть парольну фразу, яку ввели користувачі. Перевірка потребує відображення парольної фрази на екрані гаманця, щоб користувач міг переконатися, що вона збігається з тим, що він ввів на комп’ютері.
- Без цього захисту зловмисник міг би змінити інформацію, що передається між Trezor або KeepKey та їхніми користувачами, імпортувавши нову парольну фразу в гаманець. Користувач не був би розумнішим, оскільки він чи вона не T перевірити, чи пароль на пристрої збігається з тим, що на екрані комп’ютера.
- Після введення старої парольної фрази користувач відкривав інтерфейс апаратного гаманця на комп’ютері, як зазвичай. Однак кожна згенерована адреса буде під контролем нової парольної фрази, встановленої хакером, тому користувач апаратного гаманця не зможе витрачати кошти, заблоковані на цих адресах.
- Проте зловмисник не матиме доступу до цих адрес, оскільки вони все ще походять із початкової фрази гаманця, тому їх можна утримувати лише з метою отримання викупу. Таким чином, навіть якби хакер мав доступ до справжньої парольної фрази, йому чи їй знадобилася б початкова фраза або доступ до самого пристрою.
- Ця атака з викупом може бути здійснена проти кількох користувачів одночасно, і кілька криптовалют можуть бути взяті в заручники одночасно.
- Трезор і KeepKey у минулому стикалися з уразливими місцями, але більшість із них вимагали фізичного доступу до апаратних гаманців, щоб досягти успіху з парою винятки. ONE, який виявив їхній конкурент, зробив крок вперед, дозволивши гіпотетичному зловмиснику працювати віддалено.
ОНОВЛЕННЯ (3 вересня, 17:31 UTC): Додано коментарі від Trezor у третьому абзаці.
Більше для вас
Pudgy Penguins is building a multi-vertical consumer IP platform — combining phygital products, games, NFTs and PENGU to monetize culture at scale.
Що варто знати:
Pudgy Penguins is emerging as one of the strongest NFT-native brands of this cycle, shifting from speculative “digital luxury goods” into a multi-vertical consumer IP platform. Its strategy is to acquire users through mainstream channels first; toys, retail partnerships and viral media, then onboard them into Web3 through games, NFTs and the PENGU token.
The ecosystem now spans phygital products (> $13M retail sales and >1M units sold), games and experiences (Pudgy Party surpassed 500k downloads in two weeks), and a widely distributed token (airdropped to 6M+ wallets). While the market is currently pricing Pudgy at a premium relative to traditional IP peers, sustained success depends on execution across retail expansion, gaming adoption and deeper token utility.
Більше для вас
Квантова загроза для Bitcoin є «реальною, але далекою», – заявляє аналітик з Волл-стріт на тлі триваючих дебатів про апокаліпсис
Брокер із Уолл-Стріт Benchmark заявив, що криптовалютна мережа має достатньо часу для розвитку, оскільки квантові ризики переходять із теоретичної площини до управління ризиками.
Що варто знати:
- Брокер Benchmark заявив, що головна вразливість Біткоїна полягає у відкритих публічних ключах, а не в самому протоколі.
- Новий Квантовий Консультативний Рада Coinbase позначає перехід від теоретичних занепокоєнь до інституційної реакції.
- Архітектура Bitcoin є консервативною, але адаптивною, за словами аналітика Benchmark Марка Палмера, з тривалим періодом для оновлень.
Головне
