Guardar criptomoedas é algo que exige bastante segurança, afinal o conteúdo em questão é muito valioso, e é por isso a Ledger, fabricante de carteiras físicas para armazenar as moedas virtuais, anuncia os seus produtos como sendo “à prova de hackers”. Contudo, um hacker de apenas 15 anos de idade provou o contrário.
Em uma longa explicação em seu blog pessoal, o britânico Saleem Rashid explica detalhadamente como colocou em prática a teoria de que as carteiras poderiam ser hackeadas. Resumidamente, ele é capaz de substituir o firmware da carteira e inserir um backdoor no dispositivo, abrindo a porta para diferentes tipos de ataques.
“Um atacante pode explorar essa vulnerabilidade para comprometer o dispositivo antes de o usuário recebê-lo ou roubar as chaves privadas do dispositivo fisicamente e, em alguns casos, remotamente”, informou.
Ledger Nano S, uma das carteiras hackeadas por Rashid.
A arma utilizada por Rashid para driblar as seguranças Nano S e Blue foi um arquivo de 300 bytes capaz de recuperar senhas e gerar novos endereços para a carteira. Com isso, bastaria digitar as senhas em um novo dispositivo para obter as chaves privadas que guardam o acesso a esses destinos. Seria possível, também, fazer a carteira realizar transferências não solicitadas no mesmo valor de uma transação legítima feita pelo seu dono.
Quando comprovou a sua teoria, Rashid comunicou a Ledger em novembro do ano passado e a empresa atualizou o firmware de suas carteiras a fim de mitigar a falha. Apesar disso, como informa o Ars Technica, a companhia classificou a falha como “não crítica”, porque seria possível “extrair a chave privada” por meio de um ataque, o que o hacker provou não ser verdade.
Correção à prova
Segundo o TechCrunch, a Ledger se defendeu afirmando que o primeiro tipo de ataque descrito por Rashid, chamado de “supply chain attack” e capaz de ser realizado antes de a carteira chegar às mãos do consumidor, não foi provado no mundo real, portanto, é bastante improvável.
“Se você comprou o seu dispositivo de um canal diferente [do oficial], se ele é de segunda mão ou se você está inseguro, então você pode ser vítima de um golpe elaborado”, explica a empresa. “Contudo, como nenhuma demonstração do ataque foi exibida no mundo real, ele é bastante improvável. Em ambos os casos, a atualização bem-sucedida do firmware é a prova de que o seu dispositivo nunca foi comprometido.”
Sobre o segundo método descrito por ele, chamado de "evil maid", a Ledger afirma que ele pode ser realizado "apenas com acesso físico ao dispositivo, sabendo o código PIN e instanaldo um aplicativo espião não autorizado". Ainda segundo a fabricante, não há nenhum relato dessa vulnerabilidade sendo explorada de fato nos equipamentos da Ledger.
O jovem hacker britânico disse não ter tido a chance de verificar se a correção aplicada pela Ledger realmente fecha as brechas de segurança de suas carteiras. Além disso, ele afirma que a provável origem do problema esteja no design das peças, portanto, algumas modificações no método descoberto por ele seriam suficientes para repetir o ataque.
Categorias
