Crypto {hardware}-lommerleverandøren OneKey sier at den allerede har festet en sårbarhet i fastvaren som gjorde at en av {hardware}-lommebøkene kunne hackes på et sekund.
Tiende februar en video på YouTube Lagt ut fra cybersecurity-oppstart Unciphered avslørte at de oppdaget en teknikk for å utnytte en "stor viktig sårbarhet" for å "sprekke opp" en OneKey Mini.
I samsvar med Eric Michaud, en medskyldig i Unciphered, ved å demontere maskinen og sette inn koding, var det mulig å tilbakestille OneKey Mini til "produksjonsenhetsmodus" og omgå sikkerhets-PIN-koden, slik at en mulig angriper kunne ta bort den mnemoniske setningen som ble brukt til Restaurering av en brukt veske.
"De har CPU og det sikre aspektet. Det sikre aspektet er stedet du oppbevarer kryptonøklene dine. Vanligvis er kommunikasjonen mellom CPU-en, stedet hvor behandlingen er ferdig, og det sikre aspektet kryptert," definerte Michaud.
"Det ser faktisk ut til at det ikke var designet for det i denne saken. Så de kan plassere et instrument i senteret som viser og avskjærer kommunikasjonen, og deretter injiserer deres egne instruksjoner," sa han, inkludert:
"Vi gjorde det der den deretter forteller det trygge aspektet at den er i produksjonsenhetsmodus, og vi kan ta ut mnemonicen din som er pengene dine i krypto."
Likevel, i en kunngjøring 10. februar, uttalte OneKey at det allerede er tilfelle. adressert sårbarheten gjenkjent av Unciphered, og la merke til at {hardware}-arbeidsstyrken hadde oppdatert sikkerhetsoppdateringen "tidligere disse 12 månedene" uten å "påvirke noen" og at "alle avslørte sårbarheter har blitt eller skal festes".
Vårt svar på siste sikkerhetsreparasjonsanmeldelser https://t.co/Dp9nNp1D0U
— OneKey åpen kildekodelommer (@OneKeyHQ) Februar 10, 2023
"Med passordfraser og primære sikkerhetsrutiner vil ikke selv kroppslige overgrep avdekket av Unciphered skade OneKey-kunder."
Selskapets tilleggsperson understreket at selv om sårbarheten er bekymringsfull, kan angrepsvektoren gjenkjent av Unciphered ikke brukes eksternt og "krever demontering av maskinen og kroppslig inntasting ved hjelp av en dedikert FPGA-maskin i laboratoriet i et forsøk på å kjøre. " ".
I samsvar med OneKey, gjennom korrespondanse med Unciphered, ble det identifisert at forskjellige lommebøker hadde opplevd relaterte punkter.
"Vi betalte i tillegg bonuser til Unciphered for å takke dem for hans eller hennes bidrag til OneKeys sikkerhet," sa OneKey.
Assosiert: 'Følg meg til i dag' - 4 millioner dollar kryptosatsing hacket i en hyttefoaje
I sin nettlogg har OneKey definert at de allerede har gjort en god innsats for å sørge for sikkerheten til kundene sine, sammen med sikkerheten for å tilby kjedeangrep – når en hacker erstatter en faktisk lomme med en de administrerer.
OneKeys tiltak inkluderte manipulasjonssikker emballasje for forsendelser og bruk av Apples leverandører av kjedetjenester for å sørge for streng administrasjon av kjedesikkerhet.
Før eller siden håper de å implementere innebygd autentisering og forbedre nyere {hardware}-lommebøker med sikkerhetselementer på høyere nivå.
OneKey berømt at hovedmålet med {hardware}-lommebøker til enhver tid har vært å beskytte kundenes midler mot skadevareangrep, laptop-virus og forskjellige fjerntliggende risikoer, men erkjent at dessverre ingenting kan være 100 % trygt.
«Hvis vi ser på hele produksjonsforløpet for {hardware} lommer, fra silisiumkrystaller til brikkekode, fra fastvare til programvare, er det trygt å si at gitt nok penger, tid og eiendeler, kan enhver {hardware}-barriere være skadet, selv når det gjør det, er det et atomvåpenstyringssystem."
