Empresa de segurança não cifrada afirma ser capaz de hackear carteira Trezor T

A empresa de segurança cibernética Unciphered postou um vídeo em que afirma ter hackeado com sucesso uma carteira Trezor T depois de desmontar o hardware e extrair a frase inicial.

A Unciphered, uma empresa especializada em recuperar criptomoedas perdidas, demonstrou como invadiu a carteira de hardware Trezor T da Satoshi Labs usando equipamento especializado.

Em um artigo do vídeo postado no Youtube na quarta-feira, o co-fundador da Unciphered, Eric Michaud, desmonta o hardware do dispositivo e o conecta a um exploit que foi desenvolvido internamente. Usando um software especializado, ele afirma ter extraído a frase-semente, ou chaves privadas, para entrar na carteira.

“A exploração do Trezor T não pode ser corrigida com atualizações de firmware”, disse Michaud.

“Para consertar isso, a Satoshi Labs terá que recolher todos os seus produtos, o que provavelmente não farão”, acrescentou.

Alguns usuários sugeriram que a exploração demonstrada no vídeo era apenas uma demonstração de uma vulnerabilidade conhecida, mas a Unciphered afirma que o ataque anterior já havia sido corrigido pela Trezor anos atrás.

Esse antigo ataque foi corrigido e corrigido em 2019.

— LLC não cifrado (@ucipheredLLC) 24 de maio de 2023

A carteira Trezor T que aparece no vídeo de demonstração foi supostamente fornecida por CoinDesk, após uma extensa série de conversas sobre uma suposta “vulnerabilidade de hardware não corrigida” com o chip STM32 da carteira. 

A Trezor disse à CoinDesk que o ataque realizado pelo Unciphered se assemelhava a um ataque de downgrade RDP que exigia roubo físico de um dispositivo, conhecimento técnico extremo e equipamentos avançados para executar. 

O fabricante da carteira de hardware afirma que já tomou medidas significativas para resolver o problema em desenvolvimento o primeiro elemento seguro auditável e transparente do mundo através de sua empresa irmã Tropic Square.

A segurança da carteira de hardware tem sido um tópico de tendência entre os observadores do setor nas últimas semanas, a maioria centrada no Ledger e seu controverso Recuperar atualizar. A empresa anunciou um próximo recurso opcional que fragmenta frases de semente criptografadas e as armazena com três partes diferentes, dando aos usuários a opção de recuperar sua criptografia no caso de uma frase de semente perdida. 

Após uma quantidade significativa de reação da comunidade, Ledger agora atrasado o lançamento do novo recurso de recuperação, comprometendo-se a tornar o código-fonte aberto ao máximo antes do lançamento oficial.