Так ли надежны аппаратные крипто-кошельки? Как защитить свои накопления?
Как надежно хранить крипто-средства? Этот вопрос волнует держателей криптовалют более всего. На сегодняшний день пользователям доступно несколько решений. Наиболее безопасным способом хранения является использование аппаратных кошельков. Однако, время показало, что даже холодное хранение не может обеспечить надежную защиту. Какие проблемы присущи современным аппаратным кошелькам и как обезопасить себя от действий злоумышленников?
Накануне специалисты Kraken Security Labs проинформировали об обнаружении «дыры» в безопасности инструментов для холодного хранения от KeepKey. Выявленный баг позволил бы злоумышленнику при условии физического доступа к кошельку совершить взлом где-то за 15 минут, потратив около $75. Уже известно, что устранить данную уязвимость достаточно непросто, так как производителю следует внести изменения на аппаратном уровне. Наличие проблем наблюдается не только у KeepKey, но и у других популярных крипто-кошельков. О чем следует знать держателям таких устройств?
Содержание
- 1 Баг KeepKey
- 2 Реакция KeepKey
- 3 Баги Trezor
- 4 Уязвимости Ledger
- 5 Правила безопасности при взаимодействии с аппаратными кошельками для криптовалют
- 6 Надежность аппаратных устройств
Баг KeepKey
Для взлома KeepKey злоумышленнику понадобилось бы реализовать атаку под названием «сбой напряжения» (с англ. voltage glitching). Это позволило бы получить доступ к seed-фразе, после чего завладеть и средствами на кошельке. Данная атака предусматривает наличие у злоумышленника специализированного оборудования, а также определенных знаний. Для тех, кто хорошо осведомлен о функционировании системы защиты, это не составит проблем.Получив физический доступ к аппарату жертвы, хакер использует относительно дешевое приспособление, с помощью которого можно вызвать сбой в работе микроконтроллера из-за скачков напряжения. Интересно, что на рынке такие инструменты не представлены, однако их можно самостоятельно собрать, потратив около $75. После данного действия хакер получает доступ к той самой seed-фразе, а требуемый 9-значный пароль без проблем подбирается брутфорсом. После этого открывается доступ к средствам. Эксперты обращают внимание на то, что обнаруженная уязвимость имеется во всех продуктам KeepKey.
Реакция KeepKey
Стоит отметить, что баг был обнаружен и использован еще в апреле настоящего года. У белого хакера Сергея Волокитина получилось взломать кошелек и загрузить собственное ПО, воспользовавшись сбоем напряжения. В настоящее время реализацией кошельков занимается компания ShapeShift, которая приобрела KeepKey в 2017 году. Интересно, что ShapeShift знает о проблемах, однако придерживается мнения о том, что основная цель достигнута – от удаленных атак ключи пользователей надежно защищены. В июле компания заявила о том, что любой желающий, имея нужное оборудование и знания, при получении физического доступа к разработке от любой компании, сможет предпринять действия, которые в результате справятся с любой цифровой защитой.
Производитель дал обещание представить прошивку, которая не столь подвержена атакам сбоя напряжения. Однако, пока что полностью решить проблему не получилось.
Баги Trezor
Проблемы безопасности продуктов Trezor начали обсуждаться еще в 2017 году, в частности о багах сообщал этичный хакер Салим Рашид, которому также удалось обнаружить недоработки и в устройствах Ledger.
Стоит отметить, что компания Trezor использует только один универсальный чип на базе архитектуры ARM (он ответственный за криптографию, а также за принципы подключения кошелька). В удаленном режиме такой продукт было бы непросто взломать, однако при наличии непосредственного доступа к кошельку атаку можно успешно реализовать. Например, у экспертов Wallet.fail получилось взломать кошелек с помощью все той же атаки «сбой напряжения». Низкий уровень напряжения спровоцировал сбой, привел к перезагрузке. Тем временем в рамках обновления устройство перенесло seed-фразу в ОЗУ. Если владелец не позаботился об установке пароля, то данные можно обнаружить. Представители Trezor признали наличие проблем, однако также обратили внимание на то, сценарий вряд ли будет исполнен в реальности.
Примечательно, что весной 2019 года на наличие багов в продуктах Model T и Model One от Trezor обратили внимание исследователи Ledger (эта компания является конкурентом Trezor). Известно, что Trezor удалось ликвидировать лишь одну уязвимость.
Среди багов, обнаруженных представителями Attack Lab:
Уязвимости Ledger
Среди основных производителей аппаратных устройств для хранения криптовалюты: Ledger, а также Trezor и KeepKey. Также известны такие компании, как Digital BitBox, CryoBit и CoolWallet. Создатели обещают обеспечить пользователей высшим уровнем безопасности, однако белые хакеры продолжают находить в каждом из продуктов этих компаний те или иные уязвимости.
Французский производитель не стал исключением. Стоит отметить, что продукты Ledger и Trezor пользуются наибольшей популярностью среди крипто-держателей. В декабре прошлого года специалисты Wallet.fail выявили проблемы у двух проектов, результаты наработок исследователи продемонстрировали на практике в рамках мероприятия Chaos Communication Congress. Специалисты обратили внимание на то, что в кошельках имеются похожие проблемы. Ликвидировать многие уязвимости можно посредством замены микроконтроллеров или обновления прошивки.
Тем временем продукты от Ledger и Trezor функционируют не одинаково. В кошельках от французской компании разработчики используют 2 микроконтроллера: криптографический, а также универсальный (он ответственный за управление внешним подключением и одобрение переводов). Как оказалось, осуществить взлом первого микроконтроллера (Secure Element) сложно, а вот второго нет.
В рамках конференции исследователи продемонстрировали следующее:
Несмотря на обеспечение пользователей защитой от удаленных атак, вполне возможны и случаи, при которых злоумышленнику удалось бы получить физический доступ к кошельку. Особенно актуальными данные проблемы будут по мере распространения криптовалют и потребности в их хранении.
Правила безопасности при взаимодействии с аппаратными кошельками для криптовалют
Как выяснилось, держатель криптовалюты рискует потерять средства главным образом в том случае, если аппаратный кошелек окажется непосредственно в руках злоумышленника. У «квалифицированных» преступников имеется целый ряд инструментов и техник с помощью которых можно достаточно быстро взломать устройство, в частности речь идет об атаках посредника, перепрошивках, реализации неоригинальных кошельков, взломе компьютера, с которым у кошелька установлено подключение, а также внедрении специальных аппаратных имплантатов, краже seed-фраз.
Следующие рекомендации позволят обезопасить себя от атаки злоумышленников:
Надежность аппаратных устройств
Несмотря на то, что в представленных на сегодняшний день продуктах имеются проблемы, они все же обеспечивают пользователей защитой от удаленных атак. Однако, при физических атаках все же есть вероятность потери средств (при игнорировании правил безопасности). Не стоит разочаровываться в существующих на рынке кошельках, ведь производители работают над совершенствованием своих разработок, внедряют новые решения для повышения безопасности. При выборе кошелька стоит обратить внимание на готовность компании, которая занимается созданием кошельков, устранять уязвимости. При использовании устройства достаточно соблюдать правила безопасности для того, чтобы избежать неприятных инцидентов.
