​Специалисты Unciphered нашли способ взлома криптокошелька Trezor T

Что произошло? Компания Unciphered, которая занимается кибербезопасностью и восстановлением потерянной криптовалюты, заявила, что нашла способ физического взлома аппаратного криптокошелька модели Trezor T. В сообщении для издания CoinDesk специалисты компании отметили, что использовали неисправимую аппаратную уязвимость в чипе STM32, которая позволяет сбросить встроенную флэш-память и однократно программируемые (OTP) данные.

Новость на сайте CoinDesk

Что еще известно? Компания провела видеодемонстрацию взлома кошелька, предоставленного CoinDesk, в результате которого смогла получить seed-фразу и пин-код, необходимые для получения доступа к активам. Ранее Unciphered уже успешно взламывала кошелек EthereumWallet и восстанавливала заблокированные криптовалюты.

Реакция Trezor. Производитель кошельков сообщил CoinDesk, что у его команды нет достаточных данных о взломе, проведенном Unciphered, для полного ответа. В Trezor отметили, что инцидент напоминает обнаруженную три года назад возможность совершения атаки с понижением уровня защиты от чтения (RDP Downgrade).

Представитель пресс-службы Trezor отметил, что данный тип атак требует физической кражи устройства, чрезвычайно высоких технических навыков и наличия современного оборудования. При этом использование сложного пароля добавляет еще один уровень безопасности, который сделает атаку RDP Downgrade бесполезной.

В «Лаборатории Касперского» рассказали о появлении поддельных аппаратных кошельков

Эксперты призвали покупать устройства только у проверенных дилеров

Читать дальше

В Unciphered не стали подтверждать или опровергать связь их взлома Trezor T с атакой RDP Downgrade, сославшись на «текущие обязательства и соглашения о неразглашении»‎. Команда также отметила, что раскрытие технических деталей подвергает потенциальному риску пользователей криптокошельков до тех пор, пока не будут приняты меры по повышению безопасности, например, использование нового чипа.

Представители Unciphered отметили, что Trezor было известно об уязвимости в чипе STM32 модели Trezor T, однако компания ничего не сделала для ее устранения «с момента первоначальной попытки обнародования информации о риске».

«‎Факт остается фактом: они пытаются переложить ответственность за защиту своего устройства на покупателя, вместо того чтобы признать, что их устройство принципиально небезопасно», — подчеркнули в Unciphered.

При этом в Unciphered сообщили, что не связывались с Trezor до подготовки публикации материала о взломе в CoinDesk. «Наши обязательства связаны с потребителями, а не с поставщиками, которые заинтересованы в продаже большего количества продуктов, независимо от того, насколько уязвимыми они делают клиентов», — подытожили в компании.

Как надежно хранить криптовалюту. Выбираем лучшие криптокошельки 2023 года

Подробно разбираем все типы криптовалютных кошельков, а также выбираем лучшие хранилища для цифровых активов, исходя из потребностей каждого отдельного пользователя

Читать дальше

Ранее производитель аппаратных криптокошельков Ledger отложил запуск функции восстановления закрытых ключей Ledger Recover до публикации ее кода в открытом доступе. Обновление столкнулось с жесткой критикой сообщества из-за рисков утечки данных, а также отсутствия возможности просмотра кода механизма. В отличие от некоторых конкурентов, Ledger не публикует весь свой код, продукты тестируются группой отобранных исследователей в области кибербезопасности.