Pesquisadores da área de segurança da Kraken, uma das maiores exchanges de criptomoedas do mundo, conseguiram acessar as chaves privadas das carteiras de hardware Trezor One e Trezor T. A vulnerabilidade, no entanto, só é possível ser explorada tendo o hardware em mãos.
Para explorar esse bug, foi necessário manipular a tensão no microcontrolador. Como é necessário estar em posse do dispositivo físico, a vulnerabilidade é um pouco menos efetiva mas, segundo a equipe, com os equipamentos certos, é possível extrair a seed da carteira em apenas quinze minutos. Veja abaixo o vídeo do processo:
Embora essa não seja a primeira vulnerabilidade encontrada nos dispositivos Trezor, sua correção provavelmente exigirá uma reformulação completa do hardware.
“É uma falha que está presente no hardware, e não algo em que eles podem simplesmente colocar uma atualização e corrigi-la para todos os seus clientes”, disse o chefe de segurança da Kraken Nick Percoco ao The Block. “Para resolver esse problema, eles precisariam essencialmente lançar um novo dispositivo”.
A equipe da Trezor, no entanto, já está ciente desse problema e foi rápida em publicar uma resposta às descobertas da Kraken.
Em uma publicação no blog da Trezor, a empresa agradeceu a Kraken mas disse que os usuários estão seguros contra esse problema caso usem a passphare opicional.
“É importante observar que esse ataque só é viável se o recurso Passphrase não estiver ativo. Uma senha forte mitiga completamente as possibilidades de um ataque bem-sucedido”, publicou a Trezor.
Ao explorar a vulnerabilidade, a Kraken, no último passo, precisou realizar um ataque de brute force para romper a segurança do PIN (quatro números de 1 a 9 que fazem a segurança do hardware). Além do PIN, que é obrigatório, o usuário tem a opção de adicionar uma segunda camada de senha (passphrase) com caracteres ilimitados, o que tornaria quase impossível o roubo por esse método.
Compre Bitcoin na Coinext
Compre Bitcoin e outras criptomoedas na corretora mais segura do Brasil. Cadastre-se e veja como é simples, acesse: https://coinext.com.br