Cпециалисты по кибербезопасности продемонстрировали ряд уязвимостей в кошельках Trezor и Ledger

Команда специалистов по кибербезопасности Wallet.fail (Дмитрий Недоспасов, Томас Рот, Джош Датко) на мероприятии Chaos Communication Congress, которое прошло 27 декабря в Лейпциге, продемонстрировала серию успешных атак на популярные аппаратные криптовалютные кошельки Trezor и Ledger.
Пользователи могли в режиме онлайн наблюдать за увлекательным действом.
Вооружившись инструментарием и девизом «Poof goes your crypto» команда Wallet.fail принялась за дело. А список дел добропорядочных немецких хакеров выглядел так:
Перехватить пин Ledger Blue.
Хакнуть бут Nano S и подписать транзакции.
Извлечь пин и мнемоядро из RAM для Trezor.
И все это — простая демонстрация.
Специалисты объяснили — баги повсюду: софте и харде, веб-интерфейсе, архитектуре ПО и прочих пыльных уголках. Проще говоря:
«Широкое изучение выявило повторяющиеся идентичные проблемы».
Специалисты обнаружили ряд аппаратных и программных уязвимостей, которые позволяют злоумышленнику получить доступ к средствам на кошельках. Команде удалось перехватить PIN-код из кошелька Trezor и Ledger Blue, а также удаленно подписать транзакцию и взломать загрузчик Ledger Nano S.
Атаки варьируются от взлома проприетарной защиты загрузчика и взлома веб-интерфейса, который используется для работы с кошельками, до физических атак, нацеленных на обход защиты в микроконтроллерах кошелька. В конце своего выступления специалисты предложили несколько решений для создания более устойчивых аппаратных кошельков.
[Часть уязвимостей можно устранить, обновив прошивку или заменив контроллер.]