Криптовалутите, точно както и всяка друга валута от фиатни пари, могат да станат обект на кражба. От 2011-а насам са откраднати виртуални пари, чиято стойност се оценява на около 8 млн. долара. Затова не е учудващо, че на пазара се появяват хардуерни устройства, които служат за "портфейли" - предполагаемо сигурно място, в което да съхранявате авоарите си.
Оказва се обаче, че и тези "портфейли" не са стопроцентово недостъпни за кибер-престъпниците.
Последният случай на този сравнително нов вид хакерство дори не е извършен от опитни хакери, а от един 15-годишен британски тийнейджър.
Салем Рашид успява да пробие сигурността на "портфейли" с марка Ledge и описва подробно всичко това в блога си. Той пише код, който му дава достъп до съдържанието на Ledge Nano S - устройство с цена от около 100 долара, от което са продадени стотици хиляди бройки по целия свят.
Кодът позволява злонамерени действия, които могат да изпразнят тези "портфейли" от съдържащата се вътре криптовалута.
Проблемът засяга и още един модел - Ledge Nano Blue, който е много подобен като дизайн и специфики, а окончателно решение на тази слабост на устройствата няма и най-вероятно няма да има в близките седмици.
Как става пробивът?
Хардуерните "портфейли" на Ledger използват нещо, наречено "елемент на сигурност" - специален защитен чип, който служи като ключово звено в сигурността. Подобни елементи са широко използвани в паспорти, лични карти и да пазят информацията за плащанията в iPhone. Тези чипове обаче често не могат да обработват голямо количество данни.
По тази причина при Ledger те са свързани с микро-контролер, който поема дейността на чипа, но не е толкова сигурен. Това е и целта на атаката на Рашид. Нападателят трябва някак си да инсталира необходимия за кражбата код на устройството.
Процесът отнема не повече от 20 секунди и може да стане например като закупите устройството, измените го и след това го продадете в платформа като eBay.
Подобна кражба може да се случи на всеки "портфейл", който не идва директно от производителя.
В блога си Рашид пише, че още преди няколко месеца е изпратил нa Ledger кода, който е написал, а за това не му е платено абсолютно нищо от тяхна страна. Младежът решава да публикува кода на страницата си, след като изпълнителният директор на компанията прави коментар по темата във форума на Reddit, който по думите на Рашид е пълен с технологически неточности.
Като резултат от това момчето започва да се притеснява, че уязвимостта на "портфейлите" няма да стане напълно ясна на потребителите. В коментарите в Reddit директорът на Ledger казва, че опасността е силно преувеличена. Той също така обвинява тийнейджъра, че се е разстроил твърде много, след като от компанията са отказали да определят пробива му като "критичен проблем със сигурността" и да му платят, че е разкрил кода.
Крейг Янг, изследовател към фирмата за сигурност Tripwire, коментира, че е много трудно да обезопасиш напълно устройство от зложелатели, които имат физически достъп до него.
Затова е толкова важно да използваш сигурни производители, търговци и специалисти за ремонт.
В конкретния случай се оказва, че всеки, който може да стигне физически до продукт на Ledger, може да го модифицира, за да си осигури достъп до събраната вътре криптовалута. Като ефект това означава, че всеки, който продава този тип портфейли, е в състояние да открадне парите на потребителите си.
Откритието на Рашид може да има дълготрайни последици за бизнеса с криптовалути. Да разчиташ на микро-контролер, който може да бъде манипулиран, ще засили усилията за подсигуряване на хардуерните портфейли, но ще направи и хакерите по-амбициозни. И от Ledger знаят, че опитите за виртуални кражби най-вероятно няма да спрат, просто хората зад тях ще станат далеч по-изобретателни.
