Lab Keamanan Kraken Mengidentifikasi Kerentanan Di ATM Bitcoin yang Biasa Digunakan

ATM Bitcoin menawarkan cara yang nyaman dan ramah bagi konsumen untuk membeli cryptocurrency. Kemudahan penggunaan itu terkadang bisa mengorbankan keamanan.

Kraken Security Labs telah menemukan beberapa kerentanan perangkat keras dan perangkat lunak dalam ATM cryptocurrency yang umum digunakan: The General Bytes BATMtwo (GBBATM2). Beberapa vektor serangan ditemukan melalui kode QR administratif default, perangkat lunak operasi Android, sistem manajemen ATM, dan bahkan kasing perangkat keras mesin.

Tim kami menemukan bahwa sejumlah besar ATM dikonfigurasikan dengan kode QR admin default yang sama, memungkinkan siapa pun dengan kode QR ini berjalan ke ATM dan mengkompromikannya. Tim kami juga menemukan kurangnya mekanisme boot yang aman, serta kerentanan kritis dalam sistem manajemen ATM.

Kraken Security Labs memiliki dua tujuan ketika kami menemukan kerentanan perangkat keras kripto: untuk menciptakan kesadaran bagi pengguna tentang potensi kelemahan keamanan dan memperingatkan produsen produk sehingga mereka dapat memperbaiki masalah tersebut. Kraken Security Labs melaporkan kerentanan ke General Bytes pada 20 April 2021, mereka merilis tambalan ke sistem backend (CAS) mereka dan memberi tahu pelanggan mereka, tetapi perbaikan penuh untuk beberapa masalah mungkin masih memerlukan revisi perangkat keras.  

Dalam video di bawah ini, kami menunjukkan secara singkat bagaimana penyerang jahat dapat mengeksploitasi kerentanan di ATM cryptocurrency General Bytes BATMtwo. 

Dengan membaca terus, Kraken Security Labs menguraikan sifat pasti dari risiko keamanan ini untuk membantu Anda lebih memahami mengapa Anda harus berhati-hati sebelum menggunakan mesin ini. 

Sebelum Anda menggunakan ATM cryptocurrency 

1. Hanya gunakan ATM cryptocurrency di lokasi dan toko yang Anda percayai. 
2. Pastikan ATM memiliki perlindungan perimeter, seperti kamera pengintai, dan akses ke ATM yang tidak terdeteksi tidak mungkin terjadi.

Jika Anda memiliki atau mengoperasikan BATM

1. Ubah kode admin QR default jika Anda tidak melakukannya selama penyiapan awal. 
2. Perbarui server CAS Anda dan ikuti praktik terbaik General Bytes.
3. Tempatkan ATM di lokasi dengan kontrol keamanan, seperti kamera pengintai.

Satu Kode QR untuk Mengatur Mereka Semua

Memindai kode QR adalah semua yang diperlukan untuk mengambil alih banyak BATM.

Ketika pemilik menerima GBBATM2, mereka diinstruksikan untuk menyiapkan ATM dengan kode QR “Administration Key” yang harus dipindai di ATM. Kode QR yang berisi kata sandi harus diatur secara terpisah untuk setiap ATM di sistem backend:

Namun, ketika meninjau kode di belakang antarmuka admin, kami menemukan bahwa kode tersebut berisi hash dari kunci administrasi pengaturan pabrik default. Kami membeli beberapa ATM bekas dari sumber yang berbeda dan penyelidikan kami mengungkapkan bahwa masing-masing memiliki konfigurasi kunci default yang sama.

Ini menyiratkan bahwa sejumlah besar pemilik GBBATM2 tidak mengubah kode QR admin default. Pada saat pengujian kami, tidak ada manajemen armada untuk kunci administrasi, artinya setiap kode QR harus diubah secara manual. 

Oleh karena itu, siapa pun dapat mengambil alih ATM melalui antarmuka administrasi hanya dengan mengubah alamat server pengelola ATM. 

Perangkat Keras

Tidak Ada Kompartemenisasi dan Deteksi Tamper

GBBATM2 hanya memiliki satu kompartemen yang dilindungi oleh satu kunci tubular. Melewatinya menyediakan akses langsung ke internal penuh perangkat. Ini juga menempatkan kepercayaan tambahan yang signifikan pada orang yang menggantikan kotak uang, karena mudah bagi mereka untuk menutup perangkat dari belakang.

Perangkat tidak berisi alarm lokal atau sisi server untuk memperingatkan orang lain bahwa komponen internal terpapar. Pada titik ini, calon penyerang dapat membahayakan kotak uang, komputer tertanam, webcam, dan pembaca sidik jari.

Software

Penguncian OS Android Tidak Memadai

Sistem operasi Android BATMtwo juga tidak memiliki banyak fitur keamanan umum. Kami menemukan bahwa dengan memasang keyboard USB ke BATM, mendapatkan akses langsung ke UI Android lengkap adalah mungkin – memungkinkan siapa saja untuk menginstal aplikasi, menyalin file, atau melakukan aktivitas berbahaya lainnya (seperti mengirim kunci pribadi ke penyerang). Android mendukung "Mode Kios" yang akan mengunci UI ke dalam satu aplikasi — yang dapat mencegah seseorang mengakses area lain dari perangkat lunak, namun ini tidak diaktifkan di ATM.

Tidak Ada Verifikasi Firmware/Perangkat Lunak

BATMtwo berisi komputer tertanam berbasis NXP i.MX6. Tim kami menemukan bahwa BATMtwo tidak menggunakan fungsionalitas boot aman dari prosesor, dan itu dapat diprogram ulang hanya dengan mencolokkan kabel USB ke port pada papan operator dan menyalakan komputer sambil menahan tombol.

Selain itu, kami menemukan bahwa bootloader perangkat tidak terkunci: Cukup menghubungkan adaptor serial ke port UART pada perangkat sudah cukup untuk mendapatkan akses istimewa ke bootloader. 

Perlu dicatat bahwa proses boot aman dari banyak prosesor i.MX6 adalah rentan terhadap serangan, namun prosesor yang lebih baru dengan kerentanan yang ditambal ada di pasar (meskipun mereka mungkin kekurangan ketersediaan karena kekurangan chip global).

Tidak Ada Perlindungan Pemalsuan Permintaan Lintas Situs di Backend ATM

ATM BATM dikelola menggunakan “Server Aplikasi Crypto” – perangkat lunak manajemen yang dapat di-host oleh operator, atau dilisensikan sebagai SaaS.

Tim kami menemukan bahwa CAS tidak menerapkan apa pun Pemalsuan Permintaan Lintas Situs perlindungan, memungkinkan penyerang untuk menghasilkan permintaan yang diautentikasi ke CAS. Sementara sebagian besar titik akhir agak dilindungi oleh ID yang sangat sulit ditebak, kami dapat mengidentifikasi beberapa vektor CSRF yang berhasil dapat membahayakan CAS.

Gunakan Perhatian dan Jelajahi Alternatif

ATM cryptocurrency BATM terbukti menjadi alternatif yang mudah bagi orang untuk membeli aset digital. Namun, keamanan mesin ini tetap dipertanyakan karena eksploitasi yang diketahui baik di perangkat keras maupun perangkat lunaknya. 

Kraken Security Labs merekomendasikan agar Anda hanya menggunakan BATMtwo di lokasi yang Anda percayai. 

Beli panduan keamanan online kami untuk mempelajari lebih lanjut tentang cara melindungi diri Anda saat melakukan transaksi kripto.

Sumber: https://blog.kraken.com/post/11263/kraken-security-labs-identifies-vulnerabilities-in-commonly-used-bitcoin-atm/