Nekilnojamasis dabar atskleidžia pataisytą OneKey piniginės pažeidžiamumą

Nekilnojamasis dabar atskleidžia pataisytą OneKey piniginės pažeidžiamumą

„YouTube“ vaizdo įraše, kuris buvo pasidalytas jos kanalu, neuždengta kibernetinio saugumo komanda pademonstravo kritinį „OneKey“ laiško krepšio, kurį jie atrado tyrimo metu, pažeidžiamumą.

Kaip įprasta, atradus silpnybes, vaizdo įrašas buvo paskelbtas po to, kai jis buvo pataisytas.

Trūksta įprasto šifravimo

„Cyber Security Startup“, pagrindinis „Lost Cryptos“ atkūrimo klientams, kurie nebeturi galimybės naudotis savo konteineriais, tikriausiai atskleidė problemą, kai ji bandė susigrąžinti pinigus klientui. Vaizdo įraše „OneCey“ raidžių kišenė yra suskaidyta ir manipuliuojama, kai neuždengta komanda įterpia aparatinę įrangą, kuri stebi ryšį tarp piniginės CPU ir jos saugaus bloko.

Apskritai komunikacija tarp CPU ir saugaus vieneto - kur saugomi mnemonika ir kriptografija - yra užšifruotas. Tačiau neatrodo, kad taip yra „OneKey Wallets“.

"Paprastai ryšys tarp procesoriaus, kuriame vyksta apdorojimas, ir saugus elementas yra užšifruotas. Na, paaiškėja, kad šiuo atveju jis nebuvo sukurtas. Taigi, viduryje galite įdiegti įrankį, kuris stebi ryšį ir tada įterpti savo komandas."

aplinkkelis gamyklos režime

Įterpdama savo aparatinę įrangą tarp CPU ir saugaus bloko, neuždengta komanda sugebėjo priversti įrenginį patikėti, kad jis veikė gamyklos režimu, kuris vėliau perdavė „Mnemonics“ komandos komandai.

"Mes padarėme tai, kas tada sako saugiam elementui, kad jis yra gamyklos režime, ir mes galime išimti jų mnemoniką."

Tai būtų suteikę galimybę blogam aktoriui, kuris galėjo sužinoti silpną mintį, kad galėtų patekti į piniginę, kai tik ji vėl buvo sudedama.

Mūsų atsakymas į dabartines saugos paskolų ataskaitas https://t.co/dp9nnp1d0u

-oney atviro kodo trumpas krepšys (@Oneyhq) 10. Vasario 2023? Verta paminėti, kad būtų reikėję, kad šis įsilaužimas būtų įgyvendintas, kad užpuoliko fizinė prieiga prie įrenginio, nes jo nebuvo galima atlikti nuotoliniu būdu. Nepaisant to, svarbu atkreipti dėmesį į tai, kad aparatūros piniginės vieta gali būti atskleista, pavyzdžiui, knygos sužalojimas, kuriame buvo atskleisti piniginės klientų duomenys, kurie buvo atskleisti potencialiais vagysčių ir paprastų turto prievartavimo bandymais.