Осторожно! В аппаратном кошельке Ledger обнаружена уязвимость
Компания Ledger является популярнейшим производителем аппаратных кошельков. Об этом свидетельствует тот факт, что в прошлом году было продано более миллиона данных устройств.
Аппаратные кошельки принято считать самыми безопасными для «холодного» хранения своих Bitcoin и других криптовалют, потому как данные USB-устройства исключают хакерские атаки связанные с подключением в сеть.
Однако для того, чтобы получить или отправить свои средства пользователю все равно необходимо подключать устройство к компьютеру. Именно в этом моменте и выявлена уязвимость кошельков Ledger.
3 февраля компания в своем аккаунте Twitter выпустила предупреждение для своих пользователей об обнаруженной уязвимости:
To mitigate the man in the middle attack vector reported here https://t.co/GFFVUOmlkk (affecting all hardware wallet vendors), always verify your receive address on the device's screen by clicking on the "monitor button" pic.twitter.com/EMjZJu2NDh
— Ledger (@LedgerHQ) February 3, 2018
На сегодня каких-либо сообщений об атаках не поступало, но компания считает своим долгом предупредить об этом. Ledger дает практический совет своим пользователям какие шаги необходимо предпринять, чтобы избежать потери своих средств.
И так, для того чтобы избежать так называемой MiTM-атаки необходимо каждый раз в ручном режиме проверять правильность адреса, обязательно нажимая кнопку с изображенным монитором на экране своего компьютера либо иного устройства.
Для информации отметим, что механизм атаки выглядит так. Кошельки Ledger генерируют адрес получателя и показывают его на компьютере при помощи кода JavaScript… Вредоносное программное обеспечение может просто заменить код, создающий адрес получателя, в результате чего все депозиты будут отправлены на кошелёк злоумышленника.
Стоит отметить, что в ходе атаки, пользователь даже не поймет, что его средства ушли не туда. Вредоносное ПО способно очень просто изменить адрес получателя, используя файлы кошелька Ledger, которые находятся в папке AppData.
Уязвимость существует, но как говорится «предупрежден, значит вооружен». Предлагаемые шаги позволят избежать хищения средств, однако это не совершенное решение, так как зависит исключительно от действий пользователей.
Автор: Евгений Якубенко, аналитик Freedman Club Crypto News
Изображение от Fotolia
