Tadqiqotchilar Trezor va Ledger hamyonlariga hujumlarni namoyish qilmoqdalar

Mutaxassislar mashhur kriptovalyuta apparat hamyonlariga qarshi beshta hujum vektorini aniqladilar.

27-dekabr, payshanba kuni Germaniyaning Leypsig shahrida bo’lib o’tgan 35c3 kongressida Berlinda joylashgan Wallet.fail kampaniyasi tadqiqotchilari mashhur apparat kriptovalyuta hamyonlari Trezor va Ledgerga muvaffaqiyatli hujumlarni namoyish etishdi. «Apparat hamyonlariga qilingan hujumlarimiz mulkiy yuklash vositasi himoyasini buzish va hamyonlar bilan ishlash uchun veb-interfeyslarni buzishdan tortib, hamyonning mikrokontrollerlarida joriy etilgan xavfsizlik mexanizmlarini chetlab o’tish uchun ishdan chiqishlargacha bo’lgan jismoniy hujumlarni qamrab oladi. Bir nechta hamyonlarni keng ko’lamli tahlil qilishimiz tizimli va takrorlanuvchi muammolarni aniqladi», deb xabar berishdi tadqiqotchilar.

Xususan, tadqiqotchilar quyidagilarga erishdilar:

Trezor hamyonining operativ xotirasidan PIN-kod va mnemonik iborani chiqarib oling;

Hacklangan Ledger Nano S hamyonidan foydalanib, tranzaksiyalarni masofadan turib imzolang;

Yon kanal hujumi yordamida Ledger Blue hamyoniga kirish uchun PIN kodini oling;

Ledger Nano S hamyonidagi ishga tushirgich orqali Snake o’yinini ishga tushiring.

Tadqiqotchilarning so’zlariga ko’ra, ular hamyonlardagi turli xil zaifliklarni aniqladilar, ulardan alohida va birgalikda foydalanish mumkin. Wallet.fail jamoasi quyidagi hujum vektorlarini aniqladi: arxitektura, proshivka, apparat, dasturiy ta’minot va jismoniy komponentlar.

Ledgerning so’zlariga ko’ra, tadqiqotchilar tomonidan namoyish etilgan hujumlarni amalda qo’llash qiyin va hech qanday xavf tug’dirmaydi.

Trezor kelasi oyda dasturiy ta’minot yangilanishini e’lon qildi. Ledger singari, Trezor ham namoyish etilgan hujumlarning xavfi pastligini ta’kidladi, chunki ular qurilmaga jismoniy kirishni talab qiladi. Kompaniya o’z foydalanuvchilariga hamyonlarini xavfsiz saqlagan holda ular xavfsiz ekanligiga ishontirdi. Trezor vakillarining so’zlariga ko’ra, Wallet.fail jamoasi ishlab chiqaruvchilarga oldindan xabar bermasdan konferensiyadagi zaifliklar tafsilotlarini oshkor qilish orqali mas’uliyatsiz harakat qilgan.