15-Jähriger entdeckt Sicherheitslücke in Ledger Kryptowährungswallet

Ledgers Nano S Kryptowährungs-Wallet von einem 15-jährigen Teenager gehackt

Saleem Rashid, ein 15-jähriger Sicherheitsforscher, der im Vereinigten Königreich lebt, hat eine schwerwiegende Sicherheitsanfälligkeit in den Hardware-Krypto-Wallets von Ledger entdeckt.

Ledger ist ein in Frankreich ansässiges Unternehmen, das für seine „manipulationssicheren“ Hardware-Wallets bekannt ist, die zur physischen Aufbewahrung von öffentlichen und privaten Schlüsseln verwendet werden, die zum Empfangen oder Senden der Kryptowährungen des Benutzers dienen.

Rashid veröffentlichte seine Ergebnisse in einem Blogbeitrag, in dem er erklärt, wie er einen schriftlichen Code entwickelte, der ihm einen Hintertürzugang zum Ledger Nano S verschaffte, einem Hardwaregerät im Wert von 100 US-Dollar, das von Millionen von Menschen weltweit verwendet wird.

Forschungen von Rashid und zwei anderen zeigen, dass die Schwachstelle in der Brieftasche es einem Angreifer ermöglicht, den privaten Schlüssel des Geräts physisch abzuzweigen, bevor oder sogar nachdem das Gerät versandt wurde, und Gelder aus der Brieftasche ohne die Erlaubnis des Eigentümers abzuziehen.

Laut Rashids Konzeptnachweis speichern Hardware-Wallets diese privaten Schlüssel und können über einen USB-Port mit einem PC verbunden werden. Der Angriff zielt auf die Mikrocontroller des Geräts ab, von denen einer den privaten Schlüssel speichert, während der andere als Proxy fungiert, um Anzeige-Funktionen und die USB-Schnittstelle zu unterstützen. Der Proxy-Mikrocontroller-Chip ist jedoch weniger sicher und kann zwischen der originalen Software, die in ein Gerät programmiert wurde, und dem von einem Außenstehenden geschriebenen Code unterscheiden.

Um den Angriff durchzuführen, muss der Angreifer zuerst physischen Zugang zur Kryptowährungs-Hardware-Wallet haben, damit er dann bösartige Software einspeisen kann. Sobald die infizierte Software installiert ist, kommunizieren die beiden Chips miteinander, und ein Angreifer könnte den nicht sicheren Mikrochips auf den Ledger-Geräten kompromittieren, um bösartigen Code im Stealth-Modus auszuführen, der private Schlüssel stehlen kann.

Die entdeckte Schwachstelle ermöglicht sowohl einen "Lieferkettenangriff", was bedeutet, dass ein Hack das Gerät vor dem Versand an den Kunden kompromittieren könnte. Andererseits könnte ein weiterer Angriff einem Hacker ermöglichen, private Schlüssel zu stehlen, nachdem das Gerät initialisiert wurde.

Für den "Lieferkettenangriff" schrieb das Ledger-Team: "Da ein Angreifer physischen Zugang zum Gerät vor der Generierung des Seeds hat, könnte er das Gerät täuschen, indem er seinen eigenen Seed einspeist, anstatt einen neuen zu generieren. Das wahrscheinlichste Szenario wäre eine Betrugsoperation von einem dubiosen Wiederverkäufer."

Das Team fügte hinzu: „Wenn Sie Ihr Gerät über einen anderen Kanal gekauft haben, wenn es sich um ein gebrauchtes Gerät handelt oder wenn Sie sich unsicher sind, dann könnten Sie Opfer eines ausgeklügelten Betrugs sein. Da jedoch keine Demonstration des Angriffs in der Realität gezeigt wurde, ist es sehr unwahrscheinlich. In beiden Fällen ist ein erfolgreicher Firmware-Update der Beweis, dass Ihr Gerät niemals kompromittiert wurde.“

Für den Hack nach dem Kauf schrieben sie, dass er "nur durch physischen Zugriff auf das Gerät, das Wissen um den PIN-Code und die Installation einer böswilligen nicht signierten Anwendung erreicht werden kann. Diese böswillige App könnte die Isolation zwischen Apps aufheben und auf sensible Daten zugreifen, die von bestimmten Apps wie GPG, U2F oder Neo verwaltet werden."

Ledger hat einen Patch für den Ledger Nano S veröffentlicht, vier Monate nach der ersten Offenlegung, obwohl ein Patch für den „Ledger Blue“ „für mehrere Wochen“ nicht verfügbar sein wird, sagte Ledgers Chief Security Officer, Charles Guillemet (der mit Quartz sprach), da es nicht als dringend angesehen wird.

„Die gefundenen Probleme sind ernst (deshalb empfehlen wir das Update dringend), aber NICHT kritisch“, sagte Guillemet. „Es gab kein Risiko für die Mittel, und es gab keinen Nachweis für einen realen Angriff auf unsere Geräte.“

Eric Larchevêque, CEO von Ledger, behauptete, dass es keine Berichte über die Verwundbarkeit gibt, die aktive Geräte betreffen. „Niemand wurde, soweit wir wissen, kompromittiert“, sagte er. „Wir haben keine Kenntnis darüber, dass irgendein Gerät betroffen war.“

Rashid war seinerseits enttäuscht über die Geschwindigkeit, mit der Ledger auf seine Ansprüche reagierte. In seinem Blogbeitrag sagte er, dass er den entwickelten Code vor "einigen Monaten" an Ledger gesendet habe und fügte hinzu, dass er für seine Entdeckungen keine Belohnung erhalten habe.

Im Rahmen des Blogs erklärt Rashid:

“Bevor ich auf die Einzelheiten der Sicherheitsanfälligkeit eingehe, möchte ich klarstellen, dass ich von Ledger keine Belohnung erhalten habe, da ihre Vereinbarung zur verantwortungsvollen Offenlegung mich daran gehindert hätte, diesen technischen Bericht zu veröffentlichen.

“Ich habe mich entschieden, diesen Bericht zu veröffentlichen, anstatt von Ledger eine Belohnung zu erhalten, hauptsächlich weil Eric Larchevêque, der CEO von Ledger, einige Kommentare auf Reddit gemacht hat, die mit technischen Ungenauigkeiten behaftet waren. Infolgedessen wurde ich besorgt, dass diese Schwachstelle den Kunden nicht richtig erklärt werden würde. ”

Larcheveque sagte in seinen Reddit-Kommentaren jedoch, dass das Sicherheitsproblem "stark übertrieben worden sei."

„Obwohl möglich, ist dieser Proof of Concept bei weitem nicht als kritisch schwerwiegend eingestuft und wurde niemals demonstriert“, schrieb er.

„Wir standen in den letzten vier Monaten mit Saleem in Kontakt. Es ist falsch zu behaupten, dass wir ihm nicht geantwortet oder nichts unternommen haben. Es gab andere Schwachstellen, die zur gleichen Zeit auftraten, und es war eine komplexe Schwachstelle, die tief in der Architektur unseres Systems verwurzelt war,“ fügte er hinzu. „Alle Systeme haben Schwachstellen. Das ist Teil des Lebens eines jeden Sicherheitssystems. Es ist ein Katz-und-Maus-Spiel.“

Larcheveque warf dem Teenager vor, "sichtbar aufgebracht" geworden zu sein, als das Unternehmen den Fix nicht als "kritisches Sicherheitsupdate" freigab, und sagte, seine Entscheidung, öffentlich zu gehen, habe "viel Panik erzeugt."

Quelle: BBC