Специалисты по кибербезопасности Kraken Security Labs выявили два новых типа атак, которые представляли потенциальную опасность для владельцев популярных аппаратных кошельков Ledger Nano X.
Информация о найденных уязвимостях до ее раскрытия была передана производителю кошельков. В Ledger заявили, что проблемы устранены с новым обновлением прошивки.
Риск возник для тех устройств, которые попали в руки злоумышленников до их получения конечными пользователями. Это могло произойти в процессе доставки или в результате действий недобросовестного ритейлера. Атаки позволяли получить доступ к компьютеру, к которому подключен кошелек, и установить на него вредоносное ПО для кражи активов.
В первом случае, названном Bad Ledger, злоумышленник мог изменить прошивку процессора, пользуясь отсутствием дополнительной защиты. В результате кошелек начинал выполнять функцию устройства ввода наравне с клавиатурой, что позволяло передавать компьютеру произвольные команды.
В Ledger Nano X по умолчанию предусмотрен режим отладки, который отключается после установки первого приложения, например биткоин-кошелька. Тем не менее до этого времени злоумышленник мог переписать прошивку процессора.
На представленной ниже видеозаписи демонстрируется, как после подключения «инфицированного» Ledger Nano X к ноутбуку тот начинает выполнять функции клавиатуры и открывает сайт Kraken.
Во втором случае, названном Blind Ledger, злоумышленники могли использовать незащищенность процессора кошелька для отключения его дисплея. Это могло стать элементом атаки при помощи социальной инженерии. «Зараженный» Ledger Nano X выключал работу экрана, а потенциальную жертву убеждали нажать комбинацию клавиш для одобрения вредоносной транзакции.
Чтобы не попасть в подобные ситуации в Kraken рекомендует пользователям покупать аппаратные кошельки только у авторизованных реселлеров производителя и проверять все транзакции на самом устройстве, обращая особенное внимание на не характерное для него поведение.
Отметим, что ранее специалисты Kraken Security Labs нашли критическую уязвимость в аппаратных кошельках Trezor, открывавшую возможность извлечения seed-фразы в течение 15 минут.
