Il fornitore di portafogli hardware crittografici OneKey afferma di aver già risolto una vulnerabilità nel suo firmware che ha consentito l'hacking di uno dei suoi portafogli hardware in un secondo piatto.
Un video su YouTube postato il 10 febbraio dalla startup di sicurezza informatica Unciphered ha mostrato di aver escogitato un modo per sfruttare una "massiccia vulnerabilità critica" che ha permesso loro di "aprire" un OneKey Mini.
Secondo Eric Michaud, partner di Unciphered, smontando il dispositivo e inserendo la codifica, è stato possibile riportare la OneKey Mini alla "modalità di fabbrica" e bypassare il pin di sicurezza, consentendo a un potenziale malintenzionato di rimuovere la frase mnemonica utilizzata per recuperare un portafoglio.
“Hai la CPU e l'elemento sicuro. L'elemento sicuro è dove tieni le tue chiavi crittografiche. Ora, normalmente, le comunicazioni sono crittografate tra la CPU, dove viene eseguita l'elaborazione, e l'elemento sicuro", ha spiegato Michaud.
«Be', si scopre che in questo caso non è stato progettato per farlo. Quindi quello che potresti fare è mettere uno strumento nel mezzo che monitora le comunicazioni e le intercetta e poi inietta i propri comandi ", ha detto, aggiungendo:
"L'abbiamo fatto dove poi dice all'elemento sicuro che è in modalità di fabbrica e possiamo togliere i tuoi mnemonici, che sono i tuoi soldi in criptovaluta."
Tuttavia, in una dichiarazione del 10 febbraio, OneKey ha affermato di averlo già fatto indirizzata la falla di sicurezza identificata da Unciphered, osservando che il suo team hardware aveva aggiornato la patch di sicurezza "all'inizio di quest'anno" senza che "nessuno ne fosse interessato" e che "tutte le vulnerabilità divulgate sono state o sono in fase di correzione".
La nostra risposta ai recenti rapporti sulle correzioni di sicurezza https://t.co/Dp9nNp1D0U
— Portafoglio open source OneKey (@OneKeyHQ) 10 Febbraio 2023
"Detto questo, con frasi di password e pratiche di sicurezza di base, anche gli attacchi fisici divulgati da Unciphered non influiranno sugli utenti di OneKey."
La società ha inoltre sottolineato che mentre la vulnerabilità era preoccupante, il vettore di attacco identificato da Unciphered non può essere utilizzato in remoto e richiede "lo smontaggio del dispositivo e l'accesso fisico tramite un dispositivo FPGA dedicato in laboratorio per poter essere eseguito".
Secondo OneKey, durante la corrispondenza con Unciphered, è stato rivelato che altri portafogli erano stati scoperto di avere problemi simili.
"Abbiamo anche pagato taglie Unciphered per ringraziarli per i loro contributi alla sicurezza di OneKey", ha affermato OneKey.
Nel suo post sul blog, OneKey ha affermato di aver già fatto di tutto per garantire la sicurezza dei suoi utenti, inclusa la protezione da attacchi alla catena di approvvigionamento - quando un hacker sostituisce un vero portafoglio con uno controllato da loro.
Le misure di OneKey hanno incluso imballaggi a prova di manomissione per le consegne e l'uso di fornitori di servizi di supply chain di Apple per garantire una rigorosa gestione della sicurezza della supply chain.
In futuro, sperano di implementare l'autenticazione integrata e aggiornare i nuovi portafogli hardware con componenti di sicurezza di livello superiore.
OneKey ha scritto che il main scopo dei portafogli hardware è sempre stato quello di proteggere il denaro degli utenti da attacchi di malware, virus informatici e altri pericoli remoti, ma sfortunatamente nulla può essere sicuro al 100%.
"Quando esaminiamo l'intero processo di produzione del portafoglio hardware, dai cristalli di silicio al codice del chip, dal firmware al software, è sicuro affermare che con denaro, tempo e risorse sufficienti, qualsiasi barriera hardware può essere superata, anche se si tratta di un'arma nucleare sistema di controllo."
Fonte: https://cointelegraph.com/news/onekey-says-it-s-fixed-the-flaw-that-got-its-hardware-wallet-hacked-in-1-second