Ledger przyznaje że ich portfele są wrażliwe na ataki

Myśleliście że portfele sprzętowe dają największe bezpieczeństwo?

Rzeczywiście jest ono bardzo wysokie, natomiast nic nie daje 100% pewności. Jak przyznała firma Ledger, której portfele są używane przez miliony ludzi na świecie, ich produkt jest wrażliwy na atak typu „man in the middle”, a podatność jest bardzo wysoka. Jak na razie nie ma przypadku wykorzystania luki, jednak firma zachęca do dodatkowych środków ostrożności.

O ile sam portfel jest całkowicie bezpieczny, o tyle do jego aktualizacji wymagane jest podłączenie do komputera, który z kolei musi być podłączony do internetu. W tym właśnie momencie użytkownik może paść ofiarą ataku.

Jak się okazuje, portfel wyświetla adres dla depozytów generowany za pomocą kodu Javascript wykonywanego na komputerze do którego podłączone jest urządzenie przez USB. Atakujący może podmienić ten adres, i od tej pory wszystkie depozyty będą trafiać na jego konto. Sam posiadacz walut może żyć w nieświadomości nawet długie lata.

Przeprowadzono już próbny atak aby potwierdzić lukę, i okazuje się że wystarczy podmiana jednej linijki kodu Javascript, a do ataku wystarczy skrypt w Pythonie składający się z 10 linijek.

W zaistniałej sytuacji lepszym wydaje się portfel Trezora, który do uzyskania adresu wymaga autoryzacji 2FA.