חברת Trezor אישרה שבשלושה ארנקי חומרה מדגם Safe 5, שנרכשו אצל המפיץ CryptoBilis בדרום-מזרח אסיה, הוסתר לוח מעגלים נוסף שמעתיק את ביטוי השחזור של הארנק. זו פגיעה בשרשרת האספקה, לא פגם בקושחה של הארנק.
הפרטים
לפי הדיווח, הרכיב הזדוני מותקן בין הלוח הראשי של הארנק לבין המסך, וקורא את הביטוי מהתצוגה בזמן יצירת גיבוי או שחזור. הוא מעביר אותו ברשת סלולרית לשרת של התוקף, ואם מוצגת סיסמה נוספת (passphrase) על המסך, גם אותה. הארנקים נרכשו בין 20 באוגוסט ל-23 בספטמבר. Trezor בדקה ארנק אחד במעבדה וזיהתה את שני האחרים לפי תמונות מהבעלים.
החברה מדגישה שהקושחה וה-Secure Element לא שונו, ושלא נמצאו רכיבים כאלה בארנקים ממפיצים אחרים או בדגמים אחרים. לדבריה אף אחד משלושת הבעלים לא דיווח על אובדן כספים, אך היא אינה יכולה לראות יתרות. לא פורסם מי התקין את הרכיבים ובאיזה שלב בשרשרת. גם Ledger אישרה מקרה דומה בארנק שנמכר דרך אותו מפיץ.
נקודות לשים לב
- אם רכשת ארנק דרך CryptoBilis, העבר את הכספים לארנק חדש עם ביטוי שחזור חדש. שחזור הביטוי הישן במקום אחר לא פותר את הבעיה.
- עדכון לקושחה 2.13.1 חוסם את הרכיבים שנמצאו עד כה, אבל לדברי Trezor אינו מגן על ביטוי שכבר נתפס.
- אל תזין ביטוי שחזור קיים בארנק לא מאומת, ואל תנסה לבדוק אותו בשקילה או בפתיחה — לפי Trezor אלה אינם מבחנים אמינים.
- הלקח הרחב: קנה ארנק חומרה ישירות מהיצרן או ממפיץ מורשה. Trezor עצמה צמצמה את רשת המפיצים שלה בכ-80%.
- אל תמסור ביטוי שחזור לאיש; Trezor לא תבקש אותו, ותוקפים עשויים להתחזות אליה.
מקורות: The Hacker News · Trezor
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
