OneKey säger att det har åtgärdat felet som fick sin hårdvaruplånbok hackad på 1 sekund

OneKey säger att det har åtgärdat felet som fick sin hårdvaruplånbok hackad på 1 sekund

Tidsstämpel: 12 februari 2023 10:09
OneKey säger att det har åtgärdat felet som fick sin hårdvaruplånbok hackad i 1 sekund PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

Krypto-hårdvaruplånboken OneKey säger att den redan har åtgärdat en sårbarhet i sin firmware som gjorde att en av dess hårdvaruplånböcker kunde hackas på en sekund.

Den 10 februari, en video på YouTube posted av startup för cybersäkerhet Unciphered visade att de hade hittat ut ett sätt att utnyttja en "massiv kritisk sårbarhet" för att "spricka upp" en OneKey Mini.

Enligt Eric Michaud, en partner på Unciphered, genom att demontera enheten och infoga kodning, var det möjligt att återställa OneKey Mini till "fabriksläge" och kringgå säkerhetsnålen, vilket gjorde det möjligt för en potentiell angripare att ta bort den mnemoniska frasen som användes för att återställa en plånbok. 

[Inbäddat innehåll]

"Du har processorn och det säkra elementet. Det säkra elementet är där du förvarar dina kryptonycklar. Nu, normalt, är kommunikationen krypterad mellan CPU:n, där bearbetningen görs, och det säkra elementet,” förklarade Michaud.

"Det visar sig att det inte var konstruerat för att göra det i det här fallet. Så vad du kan göra är att sätta ett verktyg i mitten som övervakar kommunikationen och avlyssnar dem och sedan injicerar deras egna kommandon”, sa han och tillade:

"Vi gjorde det där det sedan berättar för det säkra elementet att det är i fabriksläge och vi kan ta ut dina minnesminnen, vilket är dina pengar i krypto."

Men i ett uttalande den 10 februari sa OneKey att det redan hade gjort det adresserad säkerhetsbristen som identifierats av Unciphered, och noterade att dess hårdvaruteam hade uppdaterat säkerhetskorrigeringen "tidigare i år" utan att "någon påverkas" och att "Alla avslöjade sårbarheter har fixats eller håller på att fixas."

"Som sagt, med lösenordsfraser och grundläggande säkerhetspraxis kommer inte ens fysiska attacker som avslöjas av Unciphered att påverka OneKey-användare." 

Företaget betonade vidare att även om sårbarheten gällde, kan attackvektorn som identifierats av Unciphered inte användas på distans och kräver "demontering av enheten och fysisk åtkomst genom en dedikerad FPGA-enhet i labbet för att vara möjlig att utföra."

Enligt OneKey, under korrespondens med Unciphered, avslöjades det att andra plånböcker har varit funnits ha liknande problem.

"Vi betalade också Unciphered-pengar för att tacka dem för deras bidrag till OneKeys säkerhet," sa OneKey.

Relaterat: "Försöker mig till denna dag" - Kryptoprojekt hackat för 4 miljoner dollar i en hotellobby

I sitt blogginlägg har OneKey sagt att det redan har gjort stora ansträngningar för att säkerställa säkerheten för sina användare, inklusive att skydda dem från attacker i leveranskedjan — när en hacker ersätter en äkta plånbok med en som kontrolleras av dem. 

OneKeys åtgärder har inkluderat manipuleringssäker förpackning för leveranser och användning av leverantörer av supply chain-tjänster från Apple för att säkerställa en strikt hantering av leveranskedjans säkerhet.

I framtiden hoppas de kunna implementera inbyggd autentisering och uppgradera nyare hårdvaruplånböcker med säkerhetskomponenter på högre nivå.

OneKey noterade att den huvudsakliga syftet med hårdvaruplånböcker har alltid varit för att skydda användarnas pengar från skadliga attacker, datavirus och andra avlägsna faror, men erkände att tyvärr kan ingenting vara 100% säkert. 

"När vi tittar på hela tillverkningsprocessen för hårdvaruplånbok, från kiselkristaller till chipkod, från firmware till mjukvara, är det säkert att säga att med tillräckligt med pengar, tid och resurser kan vilken hårdvarubarriär som helst brytas, även om det är ett kärnvapen kontrollsystem."

Tidsstämpel:

Mer från Cointelegraph