Unciphered révèle une vulnérabilité désormais corrigée dans le portefeuille OneKey
Dans une vidéo YouTube partagée sur leur chaîne, l’équipe de cybersécurité d’Unciphered a démontré une vulnérabilité de sécurité critique pour le portefeuille OneKey qu’elle a découverte au cours de ses recherches.
Comme il est de coutume pour la découverte de vulnérabilités par un chapeau blanc, la vidéo a été publiée après avoir été corrigée.
Absence de cryptage habituel
Unciphered, une startup de cybersécurité dont l’objectif principal est de récupérer la crypto perdue pour les clients qui n’ont plus accès à leur portefeuille, a vraisemblablement découvert le problème en tentant de récupérer des fonds pour un client. Dans la vidéo, un portefeuille OneKey est démonté et manipulé, l’équipe Unciphered insérant un élément matériel qui surveillait les communications entre le processeur du portefeuille et son unité sécurisée.
Généralement, la communication entre le CPU et l’unité sécurisée – où le mnémonique et le crypto sont stockés – est cryptée. Cependant, pour les portefeuilles OneKey, il semble que ce n’était pas le cas.
« Normalement, les communications sont cryptées entre le CPU, où se fait le traitement, et l’élément sécurisé. Eh bien, il s’avère qu’il n’a pas été conçu pour le faire dans ce cas. Donc, ce que vous pourriez faire, c’est mettre un outil au milieu qui surveille les communications et les intercepte, puis injecte ses propres commandes.
Contournement du mode usine
En insérant leur matériel entre le processeur et l’unité sécurisée, l’équipe de Unciphered pourrait faire croire à l’appareil qu’il est en mode usine, ce qui a ensuite vidé le mnémonique sur l’appareil de l’équipe.
»
Cela aurait permis à un mauvais acteur qui aurait pu découvrir la vulnérabilité d’accéder au portefeuille une fois remonté.
co/Dp9nNp1D0U
Il convient de noter que pour effectuer ce piratage, il aurait été nécessaire qu’un mauvais acteur ait un accès physique à l’appareil, car il ne pouvait pas être effectué à distance. Néanmoins, il est important de noter que l’emplacement d’un portefeuille matériel peut être exposé – prenez la violation du grand livre, par exemple, où les données des clients du portefeuille ont été exposées, les exposant à des vols potentiels ainsi qu’à de simples tentatives d’extorsion.
Heureusement, le problème a maintenant été corrigé en raison de la communication entre les deux sociétés. Pour leurs efforts, Unciphered a reçu un montant non divulgué du programme de primes aux bogues de OneKey.
.
