Satoshi Labs, a equipe de desenvolvimento por trás das carteiras Trezor, lançou novas atualizações para seus dispositivos de hardware Trezor One e Trezor Model T. Essas atualizações buscam corrigir uma vulnerabilidade detectada no Bitcoin SegWit, que pode afetar os fundos gastos nessas bolsas.
a carteira Trezor One é uma das carteiras físicas mais seguras que existem no mundo, enquanto o Trezor Modelo T É uma carteira de última geração que promete uma melhoria significativa na experiência do usuário. Isto através de uma interface de usuário moderna e intuitiva, muito fácil de usar.
No entanto, foi recentemente revelada uma vulnerabilidade de segurança no protocolo SegWit que pode comprometer e afetar as transações feitas a partir destas carteiras. O que pode permitir que invasores troquem endereços de transação quando o usuário fizer uma transferência. Realizar um engano para que o usuário envie os fundos para um endereço incorreto.
A vulnerabilidade foi detectada por Salém Rashid, um hacker renomado e apaixonado por criptografia e sistemas confiáveis, conforme relatado pelo CEO da Trezor, Pavol Rusnak, em seu anúncio. Onde também explicou todos os detalhes da vulnerabilidade detectada por este usuário e as novas atualizações disponíveis para as carteiras Trezor.
Neste sentido, o versão 2.3.1 está disponível para atualizar carteiras Trezor One enquanto o. versão 1.9.1 Está disponível para atualização de carteiras Trezor Modelo T.
Você pode estar interessado: Carteira Wasabi na mira da Europol e Chainalysis: outro ataque à privacidade
Vulnerabilidade detectada no Bitcoin SegWit
O erro detectado no protocolo Bitcoin SegWit pode comprometer recursos gastos em transações realizadas em carteiras ou serviços que implementem esta solução. Uma vulnerabilidade que permite que invasores enviem uma mensagem de erro solicitando confirmação do usuário. Para prosseguir com a operação novamente. Mas em que é possível trocar os lançamentos da transação para gastar a maior parte dos fundos enviados como comissões.
Para explicar esta vulnerabilidade, os desenvolvedores do Satoshi Labs citaram um exemplo, que especifica o seguinte:
Um usuário possui 20 BTC e deseja fazer uma transação com SegWit para enviar 15 BTC. Assim você confirma uma transação por 15 BTC e outra por 5 BTC mais a taxa de comissão. O que deixaria a segunda entrada como 5,00001 BTC.
Agora, o malware envia uma mensagem de erro ao usuário, indicando que a operação não pôde ser concluída. Portanto, solicita confirmação para prosseguir com a transação novamente. Neste ponto, o malware troca de endereço; saindo a transação de envio com o BTC da comissão, e a segunda com o BTC do envio.
Mas como se reflete de forma idêntica na carteira, com os mesmos resultados, o usuário pode ser levado a pensar que está confirmando a transação inicial. Portanto, ao confirmar novamente a transação, o usuário acaba pagando uma comissão de 15 BTC e enviando apenas 0,00001 BTC. Gastar a maior parte dos fundos no pagamento da taxa de comissão ao minerador.
Probabilidade de sucesso
Agora, para que esse ataque seja realizado com sucesso, é necessário que o invasor gerencie um minerador dentro da rede Bitcoin. Além disso, deve ser aquele minerador que está minerando o bloco onde será incluída a transação, para receber a comissão.
Portanto, embora o ataque possa ser realizado, as probabilidades de realizá-lo são, na verdade, muito baixas. Um aspecto que os desenvolvedores consideram ser uma vulnerabilidade de gravidade mais ou menos baixa. Além disso, destacam que a solução para este problema é bastante simples, e que é algo que está a ser implementado nas novas atualizações disponíveis para as carteiras Trezor.
Esta solução consiste em verificar a carteira e revalidar transações anteriores antes de enviar novas. Como é o caso das transações não SegWit, como diz o comunicado.
“A solução é simples: temos que lidar com as transações Segwit da mesma forma que as transações não-Segwit. Isso significa que precisamos exigir e validar os valores UTXO de transações anteriores. É exatamente isso que estamos introduzindo nas versões de firmware 2.3.1 e 1.9.1.”
Solução de terceiros
Embora esta solução seja fácil de aplicar para carteiras Trezor, não é fácil para terceiros que interagem com estas carteiras físicas. É o caso da carteira de privacidade Wasabi e do servidor de pagamentos descentralizados BTCpay. Portanto, os desenvolvedores dessas soluções pediram aos usuários que não atualizassem o firmware até que os problemas de compatibilidade fossem resolvidos.
Da mesma forma, a equipe do Satoshi Labs indicou que não divulgou a vulnerabilidade devido a um processo responsável ao qual a empresa está sujeita. Portanto ele especificou que:
“É por isso que demoramos mais do que o normal para publicar esta solução, porque respeitamos as regras de divulgação coordenadas.”
Portanto, alguns dos fornecedores de carteiras de hardware solicitaram 90 dias para implementar a solução e criar as atualizações correspondentes.
Enquanto isso, o provedor de serviços BTCpay está considerando desativar o Trezor de seus serviços. Ressaltando que o serviço que oferece não armazena todos os dados do blockchain, mas simplesmente utiliza os dados necessários da rede Bitcoin para oferecer facilidade e rapidez aos usuários. Portanto, estima que não será capaz de integrar os esquemas de verificação de transações da Trezor.
Continue lendo: Falando sobre Bitcoin e sua curva ascendente
