Tech

OneKey казва, че е поправила грешка, която хакна хардуерния му портфейл за 1 секунда

02/13/2023
Новини за Bitcoin Ethereum

Доставчикът на крипто хардуерен портфейл OneKey казва, че вече е адресирал уязвимост в своя фърмуер, която позволява един от неговите хардуерни портфейли да бъде хакнат за една секунда.

Видео в YouTube написали на 10 февруари от стартиращата компания за киберсигурност Unciphered показаха, че са измислили начин да използват „мащабна критична уязвимост“, която им позволява да „разбият“ OneKey Mini.

Според Ерик Мишо, партньор в Unciphered, чрез разглобяване на устройството и вмъкване на кодиране е възможно OneKey Mini да се върне към „фабричен режим“ и да се заобиколи защитният щифт, позволявайки на потенциален нападател да премахне мнемоничната фраза, използвана за възстановяване на портфейл. 

„Имате процесора и защитения елемент. Сигурният елемент е мястото, където съхранявате вашите крипто ключове. Сега обикновено комуникациите са криптирани между процесора, където се извършва обработката, и защитения елемент,” обясни Мишо.

„Е, оказва се, че в този случай не е проектирано да го прави. Така че това, което можете да направите, е да поставите инструмент по средата, който следи комуникациите и ги прихваща и след това инжектира свои собствени команди“, каза той, добавяйки:

„Направихме това, когато след това той казва на защитения елемент, че е във фабричен режим и можем да извадим вашата мнемоника, която е вашите пари в криптовалута.“

Въпреки това, в изявление от 10 февруари OneKey каза, че вече го е направило адресирано пропускът в сигурността, идентифициран от Unciphered, отбелязвайки, че неговият хардуерен екип е актуализирал корекцията за сигурност „по-рано тази година“, без „никой да бъде засегнат“ и че „Всички разкрити уязвимости са били или се коригират“.

„Въпреки това, с пароли и основни практики за сигурност, дори физически атаки, разкрити от Unciphered, няма да засегнат потребителите на OneKey.“ 

Компанията освен това подчерта, че макар уязвимостта да е тревожна, векторът на атаката, идентифициран от Unciphered, не може да се използва отдалечено и изисква „разглобяване на устройството и физически достъп чрез специално FPGA устройство в лабораторията, за да бъде възможно изпълнението“.

Според OneKey, по време на кореспонденция с Unciphered, е разкрито, че са били други портфейли установи, че има подобни проблеми.

„Също така платихме награди на Unciphered, за да им благодарим за техния принос към сигурността на OneKey“, каза OneKey.

Свързани: „Преследва ме до ден днешен“ — Крипто проект, хакнат за $4 милиона във фоайе на хотел

В своята публикация в блога OneKey каза, че вече е положил големи усилия, за да гарантира сигурността на своите потребители, включително защитата им от атаки на веригата за доставки — когато хакер замени истински портфейл с контролиран от него. 

Мерките на OneKey включват защитени от подправяне опаковки за доставки и използване на доставчици на услуги за веригата за доставки от Apple, за да се гарантира стриктно управление на сигурността на веригата за доставки.

В бъдеще те се надяват да внедрят вградена автентификация и да надстроят по-новите хардуерни портфейли с компоненти за сигурност от по-високо ниво.

OneKey написа, че основният предназначение на хардуерните портфейли винаги е била да защитава парите на потребителите от злонамерени атаки, компютърни вируси и други отдалечени опасности, но за съжаление нищо не може да бъде 100% сигурно. 

„Когато разгледаме целия процес на производство на хардуерен портфейл, от силициевите кристали до кода на чипа, от фърмуера до софтуера, е безопасно да се каже, че с достатъчно пари, време и ресурси всяка хардуерна бариера може да бъде пробита, дори ако е ядрено оръжие контролна система."