A Kraken Security Labs, departamento de pesquisa da popular exchange de criptomoedas dos EUA, publicou um estudo na quarta-feira (29) que revelou uma série de vulnerabilidades presentes em caixas eletrônicos de bitcoin.
Vale destacar que os problemas identificados se limitam às máquinas do popular modelo The General Bytes BATMtwo (GBBATM2), e não estão presentes em todos os ATMs de bitcoin existentes.
A vulnerabilidade mais crítica encontrada pela Kraken foi a facilidade com que um agente malicioso pode acessar o painel administrativo e tomar o controle total dessas máquinas, colocando em risco as criptomoedas dos usuários e suas informações pessoais.
Durante os testes de segurança (vídeo abaixo), os pesquisadores descobriram que a grande maioria dos ATMs do modelo BATMtwo são configurados com o mesmo QR Code que fornece acesso às configurações da máquina. Ou seja, qualquer pessoa que tiver em mãos o QR Code padrão pode facilmente comprometer a segurança do caixa eletrônico.
“Compramos vários caixas eletrônicos usados de fontes diferentes e nossa investigação revelou que cada um tinha a mesma configuração de chave padrão. Portanto, qualquer pessoa pode assumir o controle do ATM por meio da interface de administração, simplesmente alterando o endereço do servidor de gerenciamento dos ATMs”, revelou a pesquisa.
Segundo o relatório, o sistema operacional Android do BATMtwo também é frágil e não possui muitos recursos de segurança que são comuns em outros modelos.
“Descobrimos que anexando um teclado USB ao BATM, é possível obter acesso direto à interface de usuário — permitindo que qualquer pessoa instale aplicativos, copie arquivos ou conduza outras atividades maliciosas como enviar chaves privadas para o invasor”, alertou o estudo.
A Kraken disse que as vulnerabilidades foram relatadas aos fabricantes dos ATMs que, após o alerta, lançaram patches com melhorias de segurança para seus sistemas de back-end. No entanto, alguns problemas ainda exigem revisões físicas das máquinas para serem resolvidos.
Problemas de hardware
Os problemas dos caixas eletrônicos de bitcoin do modelo GBBATM2 não se limitam ao software. Os pesquisadores da Kraken identificaram que esses ATMs não possuem compartimentação e detectores de adulteração.
O interior da máquina é protegido por uma única trava tubular que ao ser rompida, fornece acesso direto a todos os componentes de hardware do dispositivo, inclusive a repartição onde o dinheiro físico fica armazenado.
Além disso, o equipamento não possui qualquer alarme de segurança que avise que a máquina foi manipulada ou que os componentes internos foram expostos. “Nesse ponto, um possível invasor pode comprometer a caixa de dinheiro, o computador embutido, a webcam e o leitor de impressão digital”, concluiu o estudo.
A Kraken aconselhou que usuários utilizem apenas caixas eletrônicos em locais de confiança e se certifiquem que as máquinas tenha proteções de perímetro que dificultem que alguém altere o equipamento sem ser detectado.