Cela fait 4 mois et le matériel de KeepKey est toujours vulnérable aux attaques de rançon à distance

Cela fait 4 mois et le matériel de KeepKey est toujours vulnérable aux attaques de rançon à distance

Warning crypto_val object oid 0x4 invalid state major_version 0

Un employé de Shift Crypto a déployé avec succès une attaque de rançon sur les portefeuilles matériels Trezor et KeepKey en mai dernier. Alors que Trezor a publié un correctif le 2 septembre, KeepKey n’a pas encore résolu le problème.

Selon un article de blog publié le 2 septembre, la vulnérabilité affectait toutes les crypto-monnaies sur les appareils concernés. L’exploit, qui a été repéré pour la première fois le 15 avril par les développeurs Shift Crypto, a également affecté les portefeuilles KeepKey – qui étaient à l’origine basés sur un fork du code de Trezor et fonctionnent probablement sur des bases similaires.

Interrogé sur la vulnérabilité, un représentant de KeepKey a apparemment déclaré qu’un correctif n’avait pas encore été développé, expliquant que leurs développeurs «travaillent d’abord sur des éléments de priorité plus élevée».

L’auteur de l’article de blog a averti:

“Un portefeuille malveillant ou un homme du milieu [ransomware] la modification des données transférées via USB pourrait envoyer une fausse phrase de passe arbitraire au Trezor / KeepKey, et contenir toutes les coins reçues dans ce portefeuille en otage. »

Il a également ajouté que la phrase de passe saisie par l’utilisateur pouvait être «simplement ignorée», au profit d’une phrase de passe de remplacement, uniquement connue de l’attaquant.

En mai, les bases de données clients de Trezor, Ledger et KeepKey auraient été mises en vente à la suite d’une importante violation de données.

Le pirate informatique a affirmé être en possession d’informations de compte correspondant à près de 41 500 utilisateurs de Ledger, plus de 27 100 utilisateurs de Trezor et 14 000 clients KeepKey.

SatoshiLabs a noté à l’époque qu’ils ne croyaient pas que l’information était authentique.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *