Το Unciphered Now αποκαλύπτει το Patched ευπάθεια στο πορτοφόλι OneKey

Το Unciphered Now αποκαλύπτει το Patched ευπάθεια στο πορτοφόλι OneKey

Σε ένα βίντεο του YouTube που μοιράστηκε στο κανάλι της, η μη υποπτευόμενη ομάδα ασφάλειας στον κυβερνοχώρο έδειξε μια κρίσιμη ευπάθεια για την τσάντα επιστολής OneKey που είχαν ανακαλύψει κατά τη διάρκεια της έρευνας.

Ως συνήθως με την ανακάλυψη των αδυναμιών του White-Hat, το βίντεο δημοσιεύθηκε μετά την επιδιορθωμένη.

λείπει η συνηθισμένη κρυπτογράφηση

Ανεξάρτητη, μια εκκίνηση της ασφάλειας στον κυβερνοχώρο, το επίκεντρο της αποκατάστασης των χαμένων κρυπτογράφων για τους πελάτες που δεν έχουν πλέον πρόσβαση στα δοχεία τους, πιθανώς αποκάλυψαν το πρόβλημα όταν προσπάθησε να πάρει τα χρήματα πίσω για έναν πελάτη. Στο βίντεο, μια τσέπη OneCey είναι κατανεμημένη και χειραγωγείται, όπου η αδιάκοπη ομάδα εισάγει υλικό που παρακολουθεί την επικοινωνία μεταξύ της CPU του πορτοφολιού και της ασφαλούς μονάδας της.

Γενικά, η επικοινωνία μεταξύ της CPU και της ασφαλούς μονάδας - όπου αποθηκεύεται η μνημονική και η κρυπτογραφία - είναι κρυπτογραφημένη. Ωστόσο, αυτό δεν φαίνεται να συμβαίνει με τα πορτοφόλια OneKey.

"Συνήθως η επικοινωνία μεταξύ της CPU, όπου λαμβάνει χώρα η επεξεργασία και το ασφαλές στοιχείο είναι κρυπτογραφημένο.

παράκαμψη στη λειτουργία Factory

Με την εισαγωγή του υλικού τους μεταξύ της CPU και της ασφαλούς μονάδας, η αδιάφορη ομάδα ήταν σε θέση να κάνει τη συσκευή να πιστεύει ότι ήταν σε εργοστασιακή λειτουργία, η οποία στη συνέχεια μεταβίβασε τα μνημονικά στην ομάδα της ομάδας.

"Κάναμε αυτό που λέει τότε στο ασφαλές στοιχείο ότι είναι σε εργοστασιακή λειτουργία και μπορούμε να βγάλουμε τα μνημονικά τους."

Αυτό θα είχε δώσει τη δυνατότητα σε έναν κακό ηθοποιό που θα μπορούσε να ανακαλύψει το αδύναμο σημείο να αποκτήσει πρόσβαση στο πορτοφόλι μόλις συγκεντρωθεί ξανά.

Η απάντησή μας στις τρέχουσες εκθέσεις σχετικά με τα δάνεια ασφαλείας https://t.co/dp9nnp1d0u

-OneKey Σύντομη τσάντα ανοικτού κώδικα (@onekeyhq) 10. Αξίζει να σημειωθεί ότι θα ήταν απαραίτητο για την εφαρμογή αυτού του hack να έχει φυσική πρόσβαση σε εισβολέα στη συσκευή επειδή δεν θα μπορούσε να πραγματοποιηθεί εξ αποστάσεως. Παρόλα αυτά, είναι σημαντικό να σημειωθεί ότι η θέση ενός πορτοφολιού υλικού μπορεί να αποκαλυφθεί, για παράδειγμα, ο τραυματισμός του βιβλίου στον οποίο αποκαλύφθηκαν τα δεδομένα από τους πελάτες του πορτοφολιού, τα οποία εκτίθενται σε πιθανές κλοπές και απλές προσπάθειες εκβιασμού.