Patnáctiletý hacker prolomil ochranu jedné z nejbezpečnějších kryptopeněženek světa

Francouzská společnost Legder je výrobcem kryptopeněženek Nano S a Nano Blue, které mají být jedny z nejbezpečnějších na světě. Prodaných bylo více než milion kusů zákazníkům ve 165 zemích světa. Patnáctiletý hacker ale dokázal prolomit jejich ochranu.

Ledger již oznámil, že chyba byla v hardwaru Nano S odstraněna, v případě méně populárního Nano Blue však mezera pořád existuje a ředitel bezpečnosti firmy potvrdil, že oprava potrvá ještě několik týdnů, všímá si portál Quartz. Ledgeru si však není vědom žádné krádeže peněz.

Podle Saleema Rashida, 15letého chlapce, který na problém upozornil na svém blogu, bylo provedení útoku triviální. Podařilo se mu najít způsob, jak se útočník může dostat do kryptografických klíčů uložených na zařízení. Díky tomu dokáže kontrolovat všechny peníze na něm uložené a zároveň ovlivnit displej.

Jak útok probíhá?

Ledger, ve své podstatě podobný jako u nás známější Trezor od českých SatoshiLabs, používá takzvaný bezpečnostní element (speciální čip odolný vůči manipulaci), který má být základem bezpečnostního řešení. Podobná řešení jsou běžně využívána v pasech, občanských průkazech nebo u citlivých dat na iPhonech.

Tyto čipy ale nedokážou zpracovávat mnoho dat a mohou být připojené na externí displeje. Bezpečnostní element v Nano S je tedy připojen na další mikroovladač, který dělá to samé, ale už ne na podobné bezpečnostní úrovni. A na ten se Rashidův útok zaměřil.

Útočník pak potřebuje na zařízení nainstalovat vlastní firmware, což je podle Rashida možné za méně než dvacet vteřin. Jedna z možností, jak to udělat, je dostat se k zařízení ještě předtím, než se dostane ke koncovému zákazníkovi.

Tento typ napadení se nazývá jako útok na dodavatelský řetězec (supply-chain attack) a může postihnout každé zařízení, které je od výrobce k zákazníkovi distribuováno přes třetí strany.

Zlatá éra podvodníků

Ledger říká, že většina jeho peněženek se zákazníkům prodává přímo, využívá však také služby lokálních prodejců – v České republice konkrétně Alzy (za 2 599 Kč) a Cryptoshopu (2 499 Kč). Společnost zároveň připravila aktualizaci softwaru, ale nechává na zákaznicích, jestli se pro ni rozhodnou. To podle samotného Rashida není vhodné řešení, protože některé zákazníky tím nechává zranitelné.

Nano S od firmy Ledger

„Existují desítky nebo stovky tisíc těchto zařízení čekajících na policích u více či méně uznávaných prodejců,“ cituje Quartz Kenna Whita, bezpečnostního vědce, který práci Rashida revidoval.

„Je to zlatá éra podvodníků. V některých případech svěřují lidé svoje životní úspory do těchto hardwarových peněženek, a tak je motivace k manipulaci s nimi vysoká,“ dodává White. Představa, že si uživatelé jen stáhnou jeden update a mají hotovo, je podle něj naivní.

Nevěřte tomu, co je napsáno na displeji

Pro společnost Ledger to ale v poslední době není první bezpečnostní problém. Před několika týdny přinesl portál The Next Web zprávu o tom, že kvůli chybě je možné peněženky infikovat malwarem, který dokáže uživatele donutit, aby nevědomky své peníze posílali přímo hackerům.

Týkat se to má všech jejích zařízení, podle Ledgeru ale k žádným negativním incidentům nedošlo. „Dotčeny jsou všechny peněženky. Tohle ale není chybou zabezpečení zařízení, ale připomínkou toho, že nemůžete důvěřovat tomu, co vidíte na obrazovce svého počítače,“ cituje TNW mluvčího firmy.

Samotný Ledger je přitom jednou ze světových společností, které těží z obrovského zájmu o kryptoměny. Z prodeje Nano S získal již více než 100 milionů dolarů a od investorů přes dalších 75 milionů.

Diskuze k článku