Penyelidik Ledger telah menemui kelemahan pada sistem operasi Android yang membolehkan pencurian frasa benih kripto dalam beberapa saat.
Unit tersebut mengaplikasikan bukti konsep untuk membuktikan ancaman di atas adalah nyata.
Pembangunan ini menunjukkan bahawa telefon pintar tidak memiliki perlindungan keselamatan yang diperlukan untuk bertindak sebagai fasiliti penyimpanan kripto.
Pasukan penyelidikan Donjon Ledger telah mengenal pasti kelemahan keselamatan dalam pemproses MediaTek (yang biasa digunakan pada telefon Android) yang membolehkan pihak jahat mencuri pin telefon pengguna dan frasa benih kripto mereka dalam beberapa saat. Serangan ini dikatakan berlaku walaupun peranti dimatikan.
Pasukan menjalankan ujian bukti konsep, di mana mereka berjaya mendapatkan maklumat sensitif berkaitan beberapa perisian (dikenali sebagai dompet panas) kripto. Mangsa termasuk Trust Wallet, Kraken Wallet, dan Phantom.
Pencurian kripto pada OS Android
Charles Guillemet, Ketua Teknologi di syarikat dompet peranti keras Ledger, mencatat perkembangan ini sebagai “pengingat bahawa telefon pintar tidak direka untuk keselamatan.”
Guillemet menambahkan bahawa ia mungkin telah mempengaruhi “jutaan” telefon Android, kerana ia mendominasi penggunaan global disebabkan faktor ekonomi dan ketersediaan.
Selepas laporan itu, MediaTek mengambil tindakan untuk memperbaiki kelemahan itu, sementara Trust Wallet memperkenalkan ciri keselamatan baharu yang mencegah pemalsuan alamat kripto.
Metode penyimpanan mana yang selamat?
Dompet keras, seperti Ledger dan Trezor, telah mendapat reputasi dalam menyediakan keselamatan yang lebih baik kepada kripto mata wang berbanding dompet perisian. Ini kerana mereka menggunakan cip yang berasingan daripada pemproses utama telefon.
Namun, dengan penggunaan global sebanyak 78%, dompet panas adalah pilihan utama di kalangan pemegang kripto kerana kecekapan kos dan kemudahan penggunaannya.
Walaupun begitu, pengguna penyimpanan sejuk telah menjadi mangsa pencurian kripto melalui rekabentuk sosial, gangguan rantaian bekalan, penarikan peranti fizikal, dan kecerobohan yang jelas.
Contoh yang baik bagi yang terakhir ialah Perkhidmatan Cukai Korea Selatan, yang secara tidak sengaja memposting frasa benih kepada dompet keras kripto yang dirampas. Contoh serangan paksa atau serangan kunci ialah kes terkini pasangan Perancis yang dirampas hampir $1 juta dalam bitcoin.
Berkenaan dengan sistem pengendalian, pengguna iOS belum sepenuhnya terlindung, dengan kerentanan Coruna yang menggali maklumat mata wang kripto sensitif pada versi iOS yang lebih lama.
Kunci pengguna masih boleh dicuri apabila menjalankan nod, jadi mungkin dompet multisig adalah salah satu kaedah paling “tahan api” untuk menyimpan kriptowangian.