Эксперты Kraken обнаружили уязвимости в аппаратных кошельках Ledger Nano X

HashFlare

ComputerUniverse Введи промокод FW7FRUX при покупке и получи скидку 5 евро

Специалисты по кибербезопасности Kraken Security Labs выявили два новых типа атак, которые представляли потенциальную опасность для владельцев популярных аппаратных кошельков Ledger Nano X.

Информация о найденных уязвимостях до ее раскрытия была передана производителю кошельков. В Ledger заявили, что проблемы устранены с новым обновлением прошивки.

Риск возник для тех устройств, которые попали в руки злоумышленников до их получения конечными пользователями. Это могло произойти в процессе доставки или в результате действий недобросовестного ритейлера. Атаки позволяли получить доступ к компьютеру, к которому подключен кошелек, и установить на него вредоносное ПО для кражи активов.

В первом случае, названном Bad Ledger, злоумышленник мог изменить прошивку процессора, пользуясь отсутствием дополнительной защиты. В результате кошелек начинал выполнять функцию устройства ввода наравне с клавиатурой, что позволяло передавать компьютеру произвольные команды.

В Ledger Nano X по умолчанию предусмотрен режим отладки, который отключается после установки первого приложения, например биткоин-кошелька. Тем не менее до этого времени злоумышленник мог переписать прошивку процессора.

На представленной ниже видеозаписи демонстрируется, как после подключения «инфицированного» Ledger Nano X к ноутбуку тот начинает выполнять функции клавиатуры и открывает сайт Kraken.

[embedded content]

Во втором случае, названном Blind Ledger, злоумышленники могли использовать незащищенность процессора кошелька для отключения его дисплея. Это могло стать элементом атаки при помощи социальной инженерии. «Зараженный» Ledger Nano X выключал работу экрана, а потенциальную жертву убеждали нажать комбинацию клавиш для одобрения вредоносной транзакции.

Чтобы не попасть в подобные ситуации в Kraken рекомендует пользователям покупать аппаратные кошельки только у авторизованных реселлеров производителя и проверять все транзакции на самом устройстве, обращая особенное внимание на не характерное для него поведение.

Напомним, ранее специалисты Kraken Security Labs нашли критическую уязвимость в аппаратных кошельках Trezor, открывавшую возможность извлечения seed-фразы в течение 15 минут.

Подписывайтесь на новости ForkLog в Twitter!

Нашли ошибку в тексте? Выделите ее и нажмите CTRL+ENTER

https://forklog.com/eksperty-kraken-obnaruzhili-uyazvimosti-v-apparatnyh-koshelkah-ledger-nano-x/