UNCHED ora rivela la vulnerabilità rattoppata nel portafoglio OneKey

UNCHED ora rivela la vulnerabilità rattoppata nel portafoglio OneKey

In un video di YouTube che è stato condiviso sul suo canale, il team di sicurezza informatica invipato ha dimostrato una vulnerabilità critica per la borsa da lettere OneKey che avevano scoperto durante la ricerca.

Come al solito con la scoperta del cappello bianco delle debolezze, il video è stato pubblicato dopo che è stato patchato.

Manca la solito crittografia

UNCIPREATO, una startup di sicurezza informatica, il focus principale del restauro di criptos perduti per i clienti che non hanno più accesso ai loro contenitori, probabilmente hanno scoperto il problema quando ha cercato di recuperare denaro per un cliente. Nel video, una tasca di lettere di Onecey viene scomposta e manipolata, per cui il team UNCIPRATO inserisce hardware che monitora la comunicazione tra la CPU del portafoglio e la sua unità sicura.

In generale, la comunicazione tra la CPU e l'unità sicura - dove sono archiviate mnemoniche e crittografia - è crittografata. Tuttavia, questo non sembra essere il caso dei portafogli OneKey.

"Di solito la comunicazione tra la CPU, in cui si svolge l'elaborazione e l'elemento sicuro viene crittografata. Beh, si scopre che in questo caso non è stato costruito per essa. Quindi è possibile installare uno strumento nel mezzo che monitora la comunicazione e quindi inserire i propri comandi."

bypass in modalità di fabbrica

Inserendo il proprio hardware tra la CPU e l'unità sicura, il team UNCHEAD è stato in grado di far credere al dispositivo che si trattava in modalità di fabbrica, che ha poi trasferito il mnemonics alla squadra della squadra.

"Abbiamo fatto quello che dice quindi all'elemento sicuro che è in modalità di fabbrica e possiamo eliminare i loro mnemonici."

Ciò avrebbe reso possibile per un cattivo attore che avrebbe potuto scoprire il punto debole per ottenere l'accesso al portafoglio non appena veniva messo di nuovo insieme.

La nostra risposta ai rapporti attuali sui prestiti di sicurezza https://t.co/dp9nnp1d0u

-OneKey Breve Breve Brew Open-Source (@onekeyhq) 10. febbraio 2023 Fortunatamente, il problema è stato ora risolto a causa della comunicazione tra le due società. Per i suoi sforzi, Uniphered ha ricevuto un importo non divulgato dal programma di taglie da bug da OneKey.