Trust Wallet potwierdził lukę w zabezpieczeniach rozszerzenia Chrome w wersji 2.68, która umożliwiała kradzież środków. Poznaj szczegóły techniczne, poprawkę w wersji 2.69 i pilne środki bezpieczeństwa.
Bezpieczeństwo użytkowników Trust Wallet korzystających z rozszerzenia przeglądarki Google Chrome zostało naruszone po wdrożeniu wadliwej aktualizacji. Zespół programistów portfela kryptowalutowego niedawno potwierdził istnienie… krytyczna luka w zabezpieczeniach wersji 2.68 oprogramowania, co pozwoliło zewnętrznym podmiotom na wykonywanie transakcji i wyczerpywanie środków bez konieczności uzyskania zgody użytkownika lub ręcznego podpisu.
Ten incydent bezpieczeństwa wywołał natychmiastową reakcję społeczności on-chain i samej firmy, która wezwała wszystkich użytkowników wersji na komputery stacjonarne do: Natychmiast zaktualizuj do wersji 2.69.
W przeciwieństwie do ataków phishingowych czy socjotechnicznych, luka ta znajduje się w oficjalnym kodzie aplikacji i bezpośrednio wpływa na integralność systemu przechowywania aktywów. Należy zauważyć, że luka ogranicza się wyłącznie do rozszerzenia przeglądarki; aplikacje mobilne Trust Wallet na iOS i Androida nie są nią zagrożone i pozostają bezpieczne. zgłoszone firma.
Handluj kryptowalutami bezpiecznie w Bit2MeLuka w zabezpieczeniach, na którą narażeni są użytkownicy Trust Wallet
Omawiana luka została odkryta dzięki rozproszonym raportom użytkowników, którzy zaobserwowali niewyjaśnione odpływy kapitału ze swoich kont. Sytuacja zaostrzyła się, gdy badacz ds. bezpieczeństwa znany jako Zach XBT Raport zebrał skargi i wydał publiczne ostrzeżenie. Według raportu eksperta, użytkownicy, którzy otrzymali automatyczną aktualizację rozszerzenia Chrome do wersji 2.68, zaczęli doświadczać nieautoryzowanych transferów danych kilka godzin po instalacji.
Chociaż pochodzenie tej luki w zabezpieczeniach pozostaje oficjalnie niepotwierdzone, wydaje się, że jest ona związana z błąd w logice walidacji podpisu w rozszerzeniu. W normalnych okolicznościach każdy przelew środków wymaga od użytkownika potwierdzenia transakcji hasłem lub uwierzytelnianiem biometrycznym w interfejsie. Jednak wadliwy kod w wersji 2.68 umożliwił ominięcie tego krytycznego kroku, przez co portfele stały się podatne na ataki skryptów, które mogły inicjować przelewy z uprawnieniami aktywnej sesji.
Biorąc pod uwagę powagę sprawy, Trust Wallet wydał wersję 2.69 Aby naprawić lukę, firma poprosiła użytkowników, aby nie otwierali rozszerzenia, jeśli podejrzewają, że korzystają z zagrożonej aktualizacji. Samo aktywowanie interfejsu mogło spowodować uruchomienie złośliwego kodu.
Firma wyjaśniła, że najbezpieczniejszym sposobem rozwiązania problemu jest wymuszenie aktualizacji przeglądarki lub ponowna instalacja rozszerzenia bezpośrednio z oficjalnego sklepu, po sprawdzeniu, czy jest to poprawiona wersja, przed ponownym wprowadzeniem danych logowania lub odblokowaniem środków.
Ten incydent bezpieczeństwa po raz kolejny uwypuklił lekcję, o której ekosystem kryptowalut często zapomina. Bezpieczeństwo blockchaina pozostaje nienaruszone, ale ryzyko nie leży w samej sieci, lecz w narzędziach, które łączą ją z użytkownikami. Żaden blockchain nie został naruszony, ale oprogramowanie je łączące zawiodło, co pokazuje, że siła systemu nie ma znaczenia, jeśli interfejs chroniący klucze prywatne stanie się rzeczywistą luką w zabezpieczeniach.
Kup kryptowaluty: zarządzaj swoim portfelem tutajUkryte ryzyko w rozszerzeniach przeglądarki
Ten incydent bezpieczeństwa zagraża powszechnej praktyce obsługi dużych sum kryptowalut za pośrednictwem przeglądarek internetowych, takich jak Chrome. Rozszerzenia, których używamy do łączenia portfeli, działają z szerokim dostępem, umożliwiając im odczyt i modyfikację danych na każdej odwiedzanej przez nas stronie. Ta sama elastyczność, mająca na celu przyspieszenie transakcji, otwiera drogę do poważnych problemów w przypadku infiltracji ich kodu. Specjaliści ds. cyberbezpieczeństwa ostrzegają przed tym od jakiegoś czasu. Aktualizacje stanowią najsłabsze ogniwo, ponieważ pojedynczy zainfekowany pakiet w łańcuchu programistycznym może natychmiast wpłynąć na tysiące osób.
W przeciwieństwie do samodzielnych aplikacji desktopowych lub odłączonych portfeli typu cold wallet, te rozszerzenia współdzielą przestrzeń stale dostępną online, narażoną na skrypty z całego internetu. W ostatnich miesiącach świat kryptowalut doświadczył wielu ataków na nie, od fałszywych kopii popularnych rozszerzeń, które przechwytują prywatne seedy, po wstrzyknięcia w aktualizacje narzędzi handlowych. Jednak to, co czyni ten przypadek wyjątkowym, to jego legalne pochodzenie. Problem pojawił się w oficjalnym oprogramowaniu, pobranym bezpośrednio ze sklepu Chrome Web Store.
W świetle tego ostatniego incydentu, analitycy transakcji blockchain twierdzą, że zagrożenia te są nieodłącznie związane z konstrukcją gorących portfeli – portfeli, które są zawsze gotowe do działania za pomocą jednego kliknięcia. Taka szybkość zwiększa możliwości atakujących, a to wydarzenie jasno pokazuje, że dywersyfikacja depozytów kryptowalutowych ma kluczowe znaczenie. Osoby zamożne powinny unikać polegania wyłącznie na narzędziach z automatycznymi aktualizacjami, nad którymi nie mają bezpośredniej kontroli.
Dołącz do Bit2Me i handluj kryptowalutamiŚrodki powstrzymujące i perspektywy użytkowników
Podczas gdy śledztwo ma na celu ustalenie źródła podatności na ataki oraz pełnego rozmiaru strat, uwaga skupia się obecnie na zarządzaniu kryzysowym i wsparciu ofiar.
ZachXBT podjął inicjatywę gromadzenia adresów, których dotyczył atak, w celu śledzenia przepływu skradzionych środków, co jest standardową praktyką mającą na celu utrudnienie atakującym prania pieniędzy. Jednocześnie badacz publicznie zakwestionował możliwość wypłaty odszkodowań użytkownikom, których dotyczył atak, co jest kwestią drażliwą, często decydującą o długoterminowej reputacji dostawców usług w tym sektorze.
Zespół wsparcia firmy zaczął kontaktować się z użytkownikami, których dotyczył incydent, aby doradzić im, co dalej zrobić, mimo że nieodwracalna natura transakcji blockchain utrudnia bezpośrednie odzyskanie środków.
Ogólnym zaleceniem dla osób podejrzewających, że ich portfel cyfrowy mógł zostać naruszony, jest uznanie tego adresu za „spalony” i przeniesienie wszelkich pozostałych zasobów na nowy adres wygenerowany z zupełnie nowej frazy początkowej. Pozostawienie tego samego adresu, nawet po aktualizacji oprogramowania, może stanowić niepotrzebne ryzyko szczątkowe.
certyfikat
Kurs Blockchain
Poziom podstawowyZapisz się na kurs, na którym wyjaśnimy technologię blockchain w sposób przejrzysty, prosty i zwięzły, dzięki czemu będziesz miał jasne pojęcie, na czym polega ta nowa technologia.
