15 июня несколько компаний, предоставляющих криптовалютные кошельки, а также фирма Cybersec, отвечающая за поиск эксплойтов, объявили о существовании и последующем исправлении проблемы безопасности, затрагивающей кошельки на основе расширений браузера.
Уязвимость под кодовым названием «Demonic» была обнаружена исследователями безопасности из Halborn, которые обратились к пострадавшим компаниям в прошлом году. Теперь они обнародовали свои выводы, позволив пострадавшим сторонам заранее решить проблему, чтобы ограничить ущерб для конечных пользователей.
Metamask, xDEFI, Brave и Phantom затронуты
Эксплойт Demonic, официально названный CVE-2022-32969, изначально открытый Halborn еще в мае 2021 года. Он затронул кошельки с использованием мнемоники BIP39, что позволило злоумышленникам удаленно или с использованием скомпрометированных устройств перехватить фразы восстановления, что в конечном итоге привело к враждебному захвату кошелька.
Однако для эксплойта требовалась очень специфическая последовательность событий.
Начнем с того, что эта проблема не затронула мобильные устройства. Уязвимы были только владельцы кошельков, использующие незашифрованные настольные устройства, и им пришлось бы импортировать секретную фразу восстановления со взломанного устройства. Наконец, нужно было бы использовать опцию «Показать секретную фразу восстановления».
Хэлборн получает крупную награду за безопасность от @МетаМаск для критических открытий
Мы обнаружили критическую уязвимость, затрагивающую @МетаМаск, @Храбрый, @Фантом, @xdefi_walletи другие криптокошельки на основе браузера – краткий обзор об уязвимости и способах защиты вы:- Халборн (@HalbornSecurity) 15 июня 2022
Халборн быстро потянулся четырем компаниям, которые оказались в опасности из-за эксплойта, и началась тайная работа по устранению проблемы до того, как ее обнаружат черные хакеры.
«Из-за серьезности уязвимости и количества затронутых пользователей технические детали оставались конфиденциальными до тех пор, пока не были предприняты добросовестные усилия для связи с затронутыми поставщиками кошельков.
Теперь, когда поставщики кошельков получили возможность исправить проблему и перевести своих пользователей на безопасные фразы восстановления, Халборн предоставляет подробные сведения, чтобы повысить осведомленность об уязвимости и помочь предотвратить подобные проблемы в будущем».
Проблема решена, дружинники вознаграждены
Разработчик Metamask Дэн Финлей опубликованный сообщение в блоге, призывающее пользователей обновиться до последней версии кошелька, чтобы воспользоваться патчем, который устраняет проблему. Финлей также попросил их обратить внимание на безопасность в целом, чтобы устройства всегда были зашифрованы.
В сообщении в блоге также было объявлено о выплате Халборну 50 тысяч долларов за обнаружение уязвимости в рамках программы вознаграждения за обнаружение ошибок Metamask, которая выплачивает суммы от 1 до 50 тысяч долларов, в зависимости от серьезности.
Phantom также выступил с заявлением по этому поводу. подтверждающий уязвимость была устранена для пользователей к апрелю 2022 года. Компания также приветствовала Уссаму Амри — эксперта, стоявшего за открытием Халборна, — в команду кибербезопасности Phantom.
1/ По состоянию на апрель 2022 года пользователи Phantom защищены от критической уязвимости «Demonic» в расширениях криптобраузера.
На следующей неделе выйдет еще один исчерпывающий патч, который, как мы верим, сделает @Фантом самый безопасный от «Demonic» в индустрии. https://t.co/bKE1olpzng
- Фантом (@phantom) 15 июня 2022
Все вовлеченные стороны призвали заинтересованных пользователей убедиться, что они обновили кошелек до последней версии, и обратиться к соответствующим группам безопасности по любым дополнительным вопросам.
- Коинсмарт. Лучшая в Европе биржа биткойнов и криптовалют.
- Платоблокчейн. Интеллект метавселенной Web3. Расширение знаний. БЕСПЛАТНЫЙ ДОСТУП.
- КриптоХок. Альткоин Радар. Бесплатная пробная версия.
- Источник: https://cryptopotato.com/demonic-vulnerability-affecting-crypto-wallets-patched-by-metamask-brave-phantom/
- "
- 2021
- 2022
- a
- дополнительный
- влиять на
- затрагивающий
- Все
- Позволяющий
- объявило
- апрель
- внимание
- осведомленность
- до
- начал
- польза
- между
- Черный
- Блог
- Храбрый
- браузер
- Ошибка
- Компании
- Компания
- обеспокоенный
- обращайтесь
- может
- критической
- крипто-
- крипто кошельки
- в зависимости
- компьютера
- подробнее
- Дев
- устройство
- Устройства
- DID
- открытый
- открытие
- усилие
- События
- эксперту
- Эксплуатировать
- использует
- расширения
- обнаружение
- Фирма
- фиксированный
- найденный
- от
- будущее
- Общие
- хорошо
- Хакеры
- имеющий
- высота
- помощь
- Как
- How To
- Однако
- HTTPS
- промышленность
- вовлеченный
- вопрос
- вопросы
- IT
- хранение
- последний
- ведущий
- ОГРАНИЧЕНИЯ
- сделанный
- основной
- сделать
- Вопрос
- MetaMask
- Мобильный телефон
- мобильных устройств
- следующий
- номер
- Возможность
- Опция
- заказ
- Другое
- Владельцы
- часть
- Патчи
- Заделка
- ОПЛАТИТЬ
- фантом
- фразы
- FitPartner™
- для защиты
- защищенный
- поставщики
- обеспечение
- что такое варган?
- повышение
- достигать
- выздоровление
- исследователи
- ответственный
- безопасный
- безопасность
- несколько
- Короткое
- аналогичный
- конкретный
- Начало
- заявление
- команда
- команды
- Технический
- Ассоциация
- раз
- Обновление ПО
- пользователей
- версия
- уязвимость
- Уязвимый
- W
- Кошелек
- Кошельки
- неделя
- приветствовал
- КТО
- Работа
- бы
- год