Một chiếc ví cứng (hardware wallet) – được thiết kế để lưu trữ các loại tiền mã hóa, và được đưa ra bởi các nhà chế tạo để chống lại sự can thiệp từ bên ngoài – mới đây đã bị hack bởi một cậu bé người Anh 15 tuổi.
Trên bài blog của mình, Saleem Rashid cho biết cậu đã viết code và chính code đó đã mở ra “cánh cửa sau” để đi vào ví Ledger Nano S – một thiết bị trị giá 100 USD (tương đương £70) đã bán ra hàng triệu trên khắp thế giới.
Nó sẽ cho phép một kẻ tấn công hiểm độc rút tài khoản từ ví, cậu nói.
Công ty đứng sau loại ví này nói rằng họ đã đưa ra một bản sửa đổi về tính bảo mật.
Người ta tin rằng lỗ hổng này cũng sẽ ảnh hưởng đến mô hình khác – Nano Blue – và sự sửa chữa cho vấn đề này sẽ không sẵn sàng “trong vài tuần tới”, giám đốc an ninh của công ty – Charles Guillemet nhận định với tạp chí Quartz.
Các loại cryptocurrency như Bitcoin sử dụng một phương pháp mã hóa được gọi là “public key” để bảo vệ cho tài khoản. Người dùng có thể chi số tiền đã được lưu trữ chỉ khi họ có quyền truy cập vào “private key”.
“Không có tiền thưởng”
Những chiếc ví cứng sẽ lưu trữ các private key này và có thể được kết nối với máy PC qua cổng USB.
Vụ tấn công nhắm vào các bộ vi điều khiển của thiết bị, một trong số đó lưu trữ private key, trong khi số khác hoạt động như là đại diện của thiết bị đó để hỗ trợ các chức năng hiển thị và giao diện USB.
Loại thứ hai kém an toàn hơn và không thể phân biệt giữa firmware thật – phần mềm được lập trình vào trong thiết bị – và code được viết bởi một người ngoài.
Một lưu ý lớn dành cho phương pháp được phát hiện bởi cậu bé tuổi teen đó là kẻ tấn công sẽ cần sự truy cập vật lý (physical access) vào một chiếc ví trước khi nó nằm trong tay của nạn nhân – ví dụ, bằng cách mua một chiếc ví, thay đổi nó và sau đó đem bán nó trên eBay hoặc một trang web online tương tự.
Trong bài blog của mình, Rashid nói rằng cậu gửi code mà cậu đã phát triển cho Ledger “cách đây vài tháng”, cậu cho biết thêm rằng mình không nhận được tiền thưởng từ họ.
Cậu nói rằng mình đã lựa chọn việc công khai sau khi giám đốc điều hành của Ledger, Eric Larcheveque đưa ra bình luận trên Reddit, “những bình luận đó chỉ là sự giả dối với những thông tin không chính xác về mặt kỹ thuật”, Saleem cho biết.
Mối nguy hiểm bị “phóng đại”
“Theo như kết quả từ việc này, tôi đã lo ngại rằng lỗ hổng này sẽ không được giải thích một cách đúng đắn với khách hàng”, ông viết.
Trong lời bình luận trên Reddit của mình, ông Larcheveque nói rằng vấn đề an ninh đã “bị phóng đại quá mức”.
“Mặc dù là có sự khả thi, nhưng bằng chứng về mức độ của nhận thức này không hề được coi là một mức độ nghiêm trọng và chưa từng được chứng minh là như vậy”, ông viết.
Ông cáo buộc vị thiếu niên này về việc cậu đã “tức giận một cách công công khai” khi công ty đã không chia sẻ bản sửa chữa có vai trò như “một bản cập nhật tính bảo mật thiết yếu” và cho rằng việc cậu quyết định công khai đã “khiến cho nhiều người trở nên hoang mang.”
Craig Young, một nghiên cứu viên tại Hãng An ninh Tripwire đã bình luận rằng: “Rất khó để mà đảm bảo an toàn một cách triệt để cho bất kỳ thiết bị nào khỏi những kẻ tấn công có quyền truy cập vật lý (physical access). Đó là lý do tại sao việc có được những nhà cấu tạo linh kiện, thương gia uy tín và phương tiện sửa chữa là rất quan trọng.
“Trong trường hợp đặc biệt này, người ta đã phát hiện ra rằng bất cứ ai có quyền truy cập vật lý cũng có thể thay đổi ví cứng Ledger để tăng khả năng tiếp cận đến các khoản tiền. Điều này có nghĩa là những người bán chiếc ví cứng này có thể ăn cắp tài sản của khách hàng của họ.
“May mắn thay cho các chủ sở hữu của ví Ledger, vấn đề đã được báo cáo lại đầy đủ với nhà cung cấp và việc công khai đã giảm thiểu những rủi roc cho người dùng cuối cùng.”
Một vài tuần trước, Ledger xác nhận rằng một thiếu sót riêng biệt đã làm cho những chiếc ví của họ bị ảnh hưởng bởi cuộc tấn công khác, trong đó mã độc Malware có thể lừa người dùng, khiến họ gửi tiền mã hóa của mình cho các hacker mà không hề hay biết.
Sn_Nour
Theo Tapchibitcoin.vn/ bcc
