by KRAKENFX - Posted on January 31, 2020
Kraken Security Labs ha escogitato un modo per estrarre i seed ( le parole che costituiscono la chiave privata) da entrambi i portafogli hardware di criptovaluta offerti dal leader del settore Trezor, Trezor One e Trezor Model T. L’attacco richiede solo 15 minuti di accesso fisico al dispositivo. Questa è la prima volta che vengono descritti i passaggi dettagliati per un attacco in corso contro questi dispositivi.
Ecco come è stato possibile:
- Questo attacco si basa sul glitching della tensione per estrarre un seme crittografato. Questa ricerca inizialmente ha richiesto un po’ di know-how e diverse centinaia di dollari di attrezzature, ma si stima che si potrebbe produrre in serie un dispositivo di glitching adatto al consumatore che potrebbe essere venduto per circa $ 75.
- Si riesce quindi a crackare il seed crittografato, che è protetto da un PIN di 1-9 cifre, con un banale attacco di forza bruta (brute force).
L’attacco sfrutta i difetti intrinsechi all’interno del microcontrollore utilizzato nei walletTrezor. Questo purtroppo significa che per il team Trezor è difficile fare qualcosa su questa vulnerabilità senza una riprogettazione dell’hardware.
Fino ad allora, ecco cosa si può fare per proteggersi:
- Non consentire a nessuno l’accesso fisico al tuo portafoglio Trezor
Potresti perdere definitivamente la tua criptovaluta - Abilitare la passphrase BIP39 con il client Trezor
Questa passphrase è poco pratica da usare nella pratica, ma non è memorizzata sul dispositivo e quindi è una protezione che impedisce questo attacco.
Questo attacco è molto simile alla precedente ricerca di Kraken sul portafoglio KeepKey, prevedibilmente perché KeepKey è un derivato e tutti i dispositivi si basano sulla stessa famiglia di chip. Trezor conosce questi difetti sin dalla progettazione dei portafogli.
Altre squadre, come Ledger Donjon, hanno anche eseguito varianti di questo attacco, sebbene i dettagli completi non siano mai stati resi pubblici fino ad ora.
Questi chip non sono progettati per archiviare password e seed e questa ricerca sottolinea che fornitori come Trezor e KeepKey non devono fare affidamento esclusivamente su di essi per proteggere la tua criptovaluta.
Fortunatamente il team di Kraken lavora in collaborazione con il team Trezor per coordinare questa divulgazione e sarebbe bene leggersi anche la loro risposta. Pavol Rusnak, CTO di SatoshiLabs, ha infatti dichiarato “Siamo felici che i Kraken Security Labs stiano investendo le loro risorse per migliorare la sicurezza dell’intero ecosistema Bitcoin. Abbiamo a cuore questo tipo di divulgazione e cooperazione responsabile “.
Nei Kraken Security Labs, si prova infatti a scoprire attacchi contro la comunità crittografica prima che i cattivi lo facciano. Hanno perciò divulgato in modo responsabile i dettagli completi di questo attacco al team Trezor già il 30 ottobre 2019. Questa divulgazione di vulnerabilità è resa pubblica soltanto ora in modo che la comunità crittografica possa proteggersi prima che venga rilasciato un fix dal team Trezor.
Non intendiamo in quest’articolo tediarvi con i dettagli tecnici di come eseguire l’operazione di estrazione delle chiavi private dai wallet hardwar Trezor, ma per chi fosse interessato può trovare tutte le informazioni QUI
Se scopri qualcosa, guadagni qualcosa
Il Kraken Security Labs è sempre alla ricerca di vulnerabilità che potrebbero costituire una minaccia per i loro clienti.
Chi è interessato ad aiutarli a identificare potenziali bug sulla loro piattaforma di scambio (exchanger), dia un’occhiata al loro programma Bug Bounty.
Pagano un minimo di $ 100 per ogni problema da voi scoperto e molto di più per minacce gravi.
Quando si ha a che fare con i bitcoin si deve anche sempre tenere presente che chi li ha inventati , ha mutuato l’oro e il denaro contante, perciò molte domande che ci poniamo, trovano soluzione nel mondo reale proprio comportandoci come se possedessimo la stessa quantità d’oro o il suo equivalente in banconote. Ve ne andreste in giro con 50.000 euro in contanti in tasca nel portafoglio? Ne dubito, soprattutto per il pericolo di perdere questa ingente somma e per motivi di sicurezza personale. Per questa ragione ed essendo i wallet (portafogli) bitcoin scaricabili gratuitamente dalla Rete anche seguendo 
che ha la praticità di poterlo configurare sul web e clonare poi anche sui propri dispositivi portatili come tablet e smartphones utilizzando l’omonima app scaricata dai rispettivi store e viceversa, si può scaricare come app e poi utilizzare le credenziali con il browser web dal vostro computer. Per il fatto di avere costantemente online i vostri bitcoin e quindi sempre disponibili ad attacchi informatici,, sconsiglio di tenere per lungo tempo cifre superiori a quelle descritte su wallet sempre online.
Quando fatto in maniera appropriata è uno dei modi possibili più sicuri (e meno costosi) di custodire i bitcoins. I suoi limiti sono dati dall’evidenza in cui le chiavi pubbliche e private sono stampate sulla carta e il supporto stesso che richiede sia conservato in luoghi adeguati (ad es. in cassaforte). Per poter inviare i bitcoin contenuti in un paper wallet bisognerà assorbire attraverso la scansione del qr-code, le chiavi private sulla applicazione wallet del proprio dispositivo portatile. Uno dei primi e migliori siti di generazione di paper wallet che vi invito ad utilizzare è