Эксплойты для взлома кошельков для криптовалют

26.03.2018 | 17:44
222
0

Одной из главных забот владельца криптокошелька является обеспечение его сохранности и защиты от злоумышленников, которые могут похитить средства. Когда это происходит, то в некоторых случаях виноват сам владелец кошелька, а иногда – его разработчики, не до конца продумавшие систему защиты.

Хакеры умеют находить уязвимости в ПО криптокошельков и создают специальные программы (эксплойты), которые могут через бреши в защите проникать в систему устройства и производить там действия, выгодные злоумышленникам. Сегодня расскажем о том, что такое эксплойты и чем они опасны для криптокошельков.

Что такое эксплойт

Эксплойты – головная боль разработчиков защитных решений и одна из самых серьезных проблем в обеспечении безопасности работы систем и хранения данных.

Эксплойты представляют собой особый подвид вредоносных программ, содержащих данные или исполняемый код, который способен проникать в систему через уязвимости в программном обеспечении.

Например, если в браузере имеется какая-либо уязвимость, позволяющая исполнение «произвольного кода», то хакер без ведома владельца ПК может установить и запустить вредоносную программу в его системе и незаметно запрограммировать систему на выгодное ему поведение.

Аналогичным образом эксплойты ищут уязвимости в программном обеспечении, установленном в кошельках для хранения криптовалюты.

Взлом кошелька для криптовалют

Взломать кошелек под силу даже школьнику

15-летний британский школьник Салим Рашид заявил, что в аппаратных кошельках Nano Blue и Ledger Nano S имеется эксплойт, позволяющий извлечь приватный ключ и использовать его для изменения адресов, на которые отправляются средства.

Ранее разработчики Ledger утверждали, что пользователи могут без опасений приобретать их б/у кошельки, т.к. в них установлена надежная защита, которую злоумышленники не смогут обойти, чтобы модифицировать прошивку.

Но Салим Рашид утверждает, что это не так, и сообщает, что написал об этом разработчикам Ledger еще в ноябре 2017 года, но они так и не устранили уязвимость.

Ранее Рашид разместил в личном блоге запись под названием «Ломаем модель безопасности Ledger». В ней он утверждает, что по-прежнему может извлечь приватный ключ и изменить адреса, на которые отправляются исходящие транзакции.

Но для этого необходимо внести изменения в прошивку устройства до того, как его активирует конечный пользователь, поэтому эксплойт представляет опасность для тех, кто покупает криптокошельки Ledger не у производителя, а на eBay и других подобных площадках.

В чем суть эксплойта в кошельках Ledger

В современных моделях кошельков Ledger используются две платы. Рашид обозначил их как SE и MCU.


Чем опасен эксплойт для кошельков для криптовалют


Первая плата имеет защиту на аппаратном уровне, но не поддерживает работу с USB, экранным интерфейсом и кнопками. Все эти функции выполняет вторая плата MCU, но у нее отсутствует надежная защита.

По мнению Рашида, если хакеры внесут некоторые изменения в ПО на плате MCU, то смогут получить доступ к приватным ключам владельцев кошельков.

Всю процедуру того, как это происходит, подросток продемонстрировал в видеоролике. Он также опубликовал соответствующие инструкции на GitHub. По словам Рашида, эта слабость в защите характерна для всех устройств Ledger, имеющих прошивку версии 1.3.1 и старше.

Ответ разработчиков Ledger

В тот же день разработчики компании выпустили новую версию ПО (1.4.1) и заявили, что это обновление исправляет три эксплойта, среди которых и найденный Рашидом.

В блоге Ledger была опубликована запись, в которой говорится, что обновление до версии 1.4.1 гарантирует, что в кошелек не были внесены любые изменения.

Разработчики добавили, что нет необходимости в других дополнительных действиях, и приватные ключи пользователей находятся в полной безопасности.

Но, по мнению Рашида, новый апдейт всего лишь блокирует возможность использования конкретного эксплойта, но уязвимость все равно остается, т.к. она носит аппаратный характер.

Мнение юного хакера разделяют и некоторые эксперты по информационной безопасности, например профессор криптографии Мэтт Грин из Университета Джонса Хопкинса.

Большинство криптокошельков уязвимы

В 2017 году компания Solar Security представила результаты исследования, в ходе которого провела анализ ряда мобильных биткоин-кошельков на предмет их безопасности.

Результаты оказались неутешительными. Было установлено, что многие кошельки уязвимы для различного рода эксплойтов и других видов атак.

Результаты исследования:


Уязвимость кошельков для криптовалют


Недостаточная защита от эксплойтов означает, что криптокошельки не защищены на 100 % от взлома и хищения средств с них. Получается, что в некоторых случаях разработчики отнеслись к своим обязанностям халатно и не позаботились о надежной защите.

Как же защитить свой криптокошелек от эксплойтов и не позволить хакерам украсть с него средства?

Покупать устройства только у производителей, а не с рук и у неизвестных отправителей через популярные торговые сайты.

Не давать кошелек в руки непроверенным лицам, чтобы злоумышленники не поменяли на нем прошивку.

А при использовании десктопных кошельков на ПК или ноутбуке регулярно обновлять систему и антивирусную программу, не открывать подозрительные файлы от неизвестных отправителей (они могут содержать эксплойты).

Аудиоподкасты по теме
Подкаст Николая Петрова
Николай Петров

Активная торговля криптовалютных инструментов

Эксперт по криптовалютам Константин Панов
Константин Панов

С чего начать майнинг криптовалюты

Николай Петров
Николай Петров

Будущее криптовалют и инвестиций

Эксперт Ольга Громова
Ольга Громова

Криптовалюты как будущее фондового рынка

Комментарии (0)

Имя

E-mail

create blog
Онлайн конвертер
Введите сумму

Взят средний курс по биржам

create blog trade cryptocurrency