Kraken mostra falha na carteira Trezor que poderia deixar bitcoins em risco

Pesquisadores da área de segurança da Kraken, uma das maiores exchanges de criptomoedas do mundo, conseguiram acessar as chaves privadas das carteiras de hardware Trezor One e Trezor T. A vulnerabilidade, no entanto, só é possível ser explorada tendo o hardware em mãos.

Para explorar esse bug, foi necessário manipular a tensão no microcontrolador. Como é necessário estar em posse do dispositivo físico, a vulnerabilidade é um pouco menos efetiva mas, segundo a equipe, com os equipamentos certos, é possível extrair a seed da carteira em apenas quinze minutos. Veja abaixo o vídeo do processo:

Embora essa não seja a primeira vulnerabilidade encontrada nos dispositivos Trezor, sua correção provavelmente exigirá uma reformulação completa do hardware.

“É uma falha que está presente no hardware, e não algo em que eles podem simplesmente colocar uma atualização e corrigi-la para todos os seus clientes”, disse o chefe de segurança da Kraken Nick Percoco ao The Block. “Para resolver esse problema, eles precisariam essencialmente lançar um novo dispositivo”.

Estudo da Kraken revela problemas de segurança em caixas eletrônicos de Bitcoin

Número de bitcoin nas exchanges cai para o menor nível desde 2018

Banco inglês pretende barrar clientes de usarem Binance e Kraken

A equipe da Trezor, no entanto, já está ciente desse problema e foi rápida em publicar uma resposta às descobertas da Kraken.

Em uma publicação no blog da Trezor, a empresa agradeceu a Kraken mas disse que os usuários estão seguros contra esse problema caso usem a passphare opicional.

“É importante observar que esse ataque só é viável se o recurso Passphrase não estiver ativo. Uma senha forte mitiga completamente as possibilidades de um ataque bem-sucedido”, publicou a Trezor.

Ao explorar a vulnerabilidade, a Kraken, no último passo, precisou realizar um ataque de brute force para romper a segurança do PIN (quatro números de 1 a 9 que fazem a segurança do hardware). Além do PIN, que é obrigatório, o usuário tem a opção de adicionar uma segunda camada de senha (passphrase) com caracteres ilimitados, o que tornaria quase impossível o roubo por esse método.