Криптовалютные аппаратные кошельки, использующие чип ESP32 под угрозой

[Alex077]

    Криптовалютные аппаратные кошельки, использующие чип ESP32, подвержены риску кражи закрытого ключа

 Исследователи предупредили о новой уязвимости, затрагивающей некоторые аппаратные криптокошельки, которая позволяет злоумышленникам конфиденциально подписывать несанкционированные транзакции биткоин и красть закрытые ключи.

По данным компании по кибербезопасности Crypto Deep Tech, которая в недавнем отчете указала на серьезную уязвимость ,  криптовалютные кошельки, использующие чип ESP32 китайского производства — широко используемый микроконтроллер, предназначенный для встраиваемых систем и подключенных устройств, — находятся под угрозой.

Эти чипы часто используются в критически важных с точки зрения безопасности средах и в аппаратных кошельках, таких как Blockstream Jade , и проектах с открытым исходным кодом, таких как Bowser и Colibri. Они часто выступают в качестве шлюзов к конфиденциальным сетям или хранят криптографические учетные данные, что делает уязвимость особенно серьезной.
  злоумышленники могут использовать возможности Bluetooth и Wi-Fi чипа для внедрения вредоносных обновлений модулей, получения низкоуровневого доступа и извлечения конфиденциальных данных кошелька, таких как закрытые ключи.

Чип имеет множество уязвимостей, включая слабый генератор случайных чисел, который делает закрытые ключи биткоин опасно предсказуемыми, а также неисправные проверки, которые позволяют использовать недействительные или малоценные ключи.

  Кошельки на базе Electrum особенно уязвимы, поскольку несовершенная логика хеширования чипа позволяет злоумышленникам использовать форматирование сообщений, отличное от BIP-137, и генерировать поддельные подписи ECDSA, которые выдают себя за настоящие транзакции Bitcoin.
    Источник
ПС Чтобы снизить угрозу нужно использовать доверенные устройства, обновлять программное обеспечение и полагаться на защищенные криптографические библиотеки, чтобы избежать таких рисков, как кража ключей и подделка транзакций.