Post Ledger ujawnia lukę w Androidzie atakującą frazy seed kryptowalut ukazał się najpierw na Coinpedia Fintech News
Zespół badawczy Donjon firmy Ledger zidentyfikował luki w zabezpieczeniach procesorów MediaTek (powszechnie używanych w telefonach z Androidem), które pozwalają złośliwym podmiotom wykraść kody PIN użytkowników oraz ich frazy seed kryptowalut w ciągu kilku sekund. Atak podobno może wystąpić nawet wtedy, gdy urządzenia są wyłączone.
Zespół przeprowadził test koncepcyjny, podczas którego z powodzeniem uzyskał poufne informacje dotyczące kilku portfeli kryptowalutowych opartych na oprogramowaniu (tzw. hot wallets). Ofiarami były Trust Wallet, Kraken Wallet i Phantom.
Kradzież kryptowalut na Androidzie
Charles Guillemet, dyrektor ds. technologii w firmie Ledger produkującej portfele sprzętowe, określił to odkrycie jako „przypomnienie, że smartfony nie są zbudowane z myślą o bezpieczeństwie".
Guillemet dodał, że mogło to wpłynąć na „miliony" telefonów z Androidem, ponieważ dominują one w użyciu globalnym ze względu na czynniki ekonomiczne i dostępność.
Po opublikowaniu raportu MediaTek podjął działania w celu naprawienia błędu, a Trust Wallet wprowadził nową funkcję zabezpieczającą zapobiegającą manipulacji adresami kryptowalut.
Która metoda przechowywania jest bezpieczna?
Portfele sprzętowe/zimne, takie jak Ledger i Trezor, zyskały opinię zapewniających lepsze bezpieczeństwo kryptowalutom w porównaniu z portfelami programowymi. Dzieje się tak, ponieważ wykorzystują one chipy oddzielone od głównego procesora telefonu.
Mimo to, przy 78% globalnym użyciu, portfele gorące są dominującym wyborem wśród posiadaczy kryptowalut ze względu na ich efektywność kosztową i łatwość użycia.
Mimo to użytkownicy cold storage padli ofiarą kradzieży kryptowalut poprzez inżynierię społeczną, manipulację łańcuchem dostaw, fizyczne wydobycie danych z urządzenia i rażące lekkomyślność.
Dobrym przykładem tego ostatniego jest południowokoreańska Służba Skarbowa, która przypadkowo opublikowała frazę seed do skonfiskowanego portfela sprzętowego kryptowalut. Przykładem ataku typu brute force lub wrench jest niedawny przypadek francuskiej pary, której skradziono prawie 1 milion dolarów w BTC.
Jeśli chodzi o systemy operacyjne, użytkownicy iOS również nie zostali całkowicie oszczędzeni, a luka Coruna wykradała wrażliwe informacje o kryptowalutach w starszych wersjach iOS.
Klucze użytkowników mogą nadal zostać skradzione podczas uruchamiania węzła, więc być może portfele multisig są jedną z najbardziej „ognioodpornych" metod przechowywania kryptowalut.
Źródło: https://coinpedia.org/news/ledger-reveals-android-flaw-targeting-crypto-seed-phrases/
