Firma ochroniarska Unciphered twierdzi, że jest w stanie zhakować portfel Trezor T

Firma Unciphered zajmująca się cyberbezpieczeństwem opublikowała film, w którym twierdzi, że z powodzeniem zhakowała portfel Trezor T po demontażu sprzętu i wyodrębnieniu frazy źródłowej.

Unciphered, firma specjalizująca się w odzyskiwaniu utraconych kryptowalut, zademonstrowała, w jaki sposób włamała się do portfela sprzętowego Satoshi Labs Trezor T za pomocą specjalistycznego sprzętu.

W wideo opublikowany na Youtube w środę, współzałożyciel Unciphered, Eric Michaud, demontuje sprzęt na urządzeniu i łączy go z exploitem, który został opracowany wewnętrznie. Twierdzi, że za pomocą specjalistycznego oprogramowania wyodrębnił klucze prywatne, aby dostać się do portfela.

„Eksploit dla Trezora T jest nie do naprawienia za pomocą aktualizacji oprogramowania układowego” – powiedział Michaud.

„Aby to naprawić, Satoshi Labs będzie musiało wycofać wszystkie swoje produkty, czego prawdopodobnie nie zrobią” – dodał.

Niektórzy użytkownicy sugerowali, że exploit pokazany na filmie był tylko pokazem znanej luki w zabezpieczeniach, ale Unciphered twierdzi, że poprzedni atak został już załatany przez Trezora lata temu.

Ten stary atak został załatany i naprawiony w 2019 roku.

— Unciphered LLC (@uncipheredLLC) 24 maja 2023 r.

Portfel Trezor T, który pojawia się w demonstracji wideo, został podobno dostarczony przez CoinDesk, po obszernej serii rozmów na temat rzekomo „niemożliwej do naprawienia luki sprzętowej” w chipie STM32 portfela. 

Trezor powiedział CoinDesk, że atak przeprowadzony przez Unciphered przypominał atak polegający na obniżeniu wersji RDP, który wymagał fizycznej kradzieży urządzenia, ekstremalnej wiedzy technicznej i zaawansowanego sprzętu do wykonania. 

Producent portfela sprzętowego twierdzi, że podjął już istotne kroki w celu rozwiązania problemu rozwijanie pierwszy na świecie kontrolowany i przejrzysty bezpieczny element za pośrednictwem swojej siostrzanej firmy Tropic Square.

Bezpieczeństwo portfela sprzętowego było popularnym tematem wśród obserwatorów branży w ciągu ostatnich kilku tygodni, z których większość koncentrowała się wokół Ledgera i jego kontrowersyjnej Recover aktualizacja. Firma ogłosiła nadchodzącą opcjonalną funkcję, która dzieli zaszyfrowane frazy początkowe i przechowuje je u trzech różnych stron, dając użytkownikom możliwość odzyskania kryptografii w przypadku utraty frazy początkowej. 

Po znacznej ilości sprzeciwu społeczności, Ledger ma teraz opóźniony wydanie nowej funkcji odzyskiwania, zobowiązując się do udostępnienia jak największej części kodu open source przed oficjalnym uruchomieniem.