Kraken mostra falha na carteira Trezor que poderia deixar bitcoins em risco

Pesquisadores da área de segurança da Kraken, uma das maiores exchanges de criptomoedas do mundo, conseguiram acessar as chaves privadas das carteiras de hardware Trezor One e Trezor T. A vulnerabilidade, no entanto, só é possível ser explorada tendo o hardware em mãos.

Para explorar esse bug, foi necessário manipular a tensão no microcontrolador. Como é necessário estar em posse do dispositivo físico, a vulnerabilidade é um pouco menos efetiva mas, segundo a equipe, com os equipamentos certos, é possível extrair a seed da carteira em apenas quinze minutos. Veja abaixo o vídeo do processo:

Embora essa não seja a primeira vulnerabilidade encontrada nos dispositivos Trezor, sua correção provavelmente exigirá uma reformulação completa do hardware.

“É uma falha que está presente no hardware, e não algo em que eles podem simplesmente colocar uma atualização e corrigi-la para todos os seus clientes”, disse o chefe de segurança da Kraken Nick Percoco ao The Block. “Para resolver esse problema, eles precisariam essencialmente lançar um novo dispositivo”.

Kraken abre lista de espera para plataforma NFT que promete taxa zero de gas

Kraken integra Lightning Network em saques e depósitos de bitcoin

Mercado de criptomoedas perde quase US$ 100 bilhões da noite para o dia

A equipe da Trezor, no entanto, já está ciente desse problema e foi rápida em publicar uma resposta às descobertas da Kraken.

Em uma publicação no blog da Trezor, a empresa agradeceu a Kraken mas disse que os usuários estão seguros contra esse problema caso usem a passphare opicional.

“É importante observar que esse ataque só é viável se o recurso Passphrase não estiver ativo. Uma senha forte mitiga completamente as possibilidades de um ataque bem-sucedido”, publicou a Trezor.

Ao explorar a vulnerabilidade, a Kraken, no último passo, precisou realizar um ataque de brute force para romper a segurança do PIN (quatro números de 1 a 9 que fazem a segurança do hardware). Além do PIN, que é obrigatório, o usuário tem a opção de adicionar uma segunda camada de senha (passphrase) com caracteres ilimitados, o que tornaria quase impossível o roubo por esse método.