Как исследователь с многолетним опытом работы в области кибербезопасности, я считаю открытие «Тёмного Скиппи» пугающим напоминанием о том, насколько уязвимыми могут быть наши цифровые активы. Мои дни заполнены обнаружением таких угроз и поиском способов защитить пользователей от них. Легкость, с которой может быть осуществлена эта атака, вызывает особое беспокойство, особенно если учесть растущую зависимость Биткойна и других криптовалют для финансовых транзакций.
Специалисты по цифровой безопасности обнаружили значительную уязвимость в аппаратных кошельках Биткойн под названием «Dark Skippy». Эта уязвимость позволяет хакерам легко получить секретные ключи кошелька, выполнив всего две подтвержденные транзакции. Более ранние методы требовали многочисленных транзакций для той же цели.
Результаты были объяснены в отчете, опубликованном 5 августа и написанном Ллойдом Фурнье, Ником Фэрроу и Робином Лайнусом.
Согласно выводам отчета, кибератака Dark Skippy обманом заставляет жертв устанавливать вредоносное программное обеспечение на их аппаратные кошельки. Затем поврежденное программное обеспечение включает разделы фразы восстановления пользователя (начальные слова) в «секретные одноразовые номера с низкой энтропией», которые используются в подписях аутентификации транзакций.
Проще говоря, если злоумышленник успешно взломал безопасность подписывающего устройства, Dark Skippy может намеренно использовать слабые и предсказуемые секретные значения (известные как одноразовые номера) в подписях транзакций. Эта стратегия позволяет скрывать части исходных слов внутри этих подписей. Имея только два таких подписанных входа, вся фраза восстановления из 12 слов потенциально может быть опубликована в общедоступной цепочке блоков.
— Ник (@utxoclub), 5 августа 2024 г.
Как опытный энтузиаст блокчейна с многолетним опытом работы за плечами, я могу с уверенностью сказать, что, хотя технология, лежащая в основе этой революционной системы, имеет огромный потенциал, она также несет в себе определенные риски. Одним из таких рисков является уязвимость исходных фраз для атак с использованием продвинутых алгоритмов, таких как алгоритм «Кенгуру» Полларда. Столкнувшись с многочисленными нарушениями безопасности в прошлом, я не понаслышке знаю, насколько разрушительной может быть потеря доступа к своим цифровым активам из-за скомпрометированной исходной фразы. Поэтому крайне важно, чтобы пользователи уделяли приоритетное внимание безопасности своих исходных фраз и внедряли лучшие практики, такие как использование аппаратных кошельков и регулярное обновление фраз восстановления.
Как аналитик, я подчеркиваю критическую проблему, затрагивающую все модели аппаратных кошельков: уязвимость, которая потенциально может возникнуть. Однако эта уязвимость может материализоваться только в том случае, если злоумышленнику удастся убедить пользователя установить поддельную прошивку. В отличие от предыдущих эксплойтов, которые требовали многочисленных транзакций в блокчейне, Dark Skippy работает всего с двумя транзакциями. Даже если начальные слова сгенерированы на другом устройстве, этот метод атаки все равно может быть эффективно реализован.
Чтобы уменьшить эту потенциальную опасность, исследователи предлагают усовершенствовать механизмы безопасности аппаратных кошельков, включая надежные системы загрузки и тщательную проверку прошивки. Они также советуют пользователям эффективно защищать свои устройства, хотя и признают, что некоторые рекомендуемые меры могут оказаться сложными для реализации.
Смотрите также
2024-08-09 04:36