Обнародована информация о критической уязвимости кошельков Ledger Nano S
Студент Санкт-Петербургского политехнического университета Сергей Лаппо в своём блоге поделился информацией о критической уязвимости аппаратных крипто-кошельков Ledger Nano S. Изначально он связался с производителем в рамках программы по отлову багов в ноябре 2018 года, а в середине января Ledger выпустил прошивку версии 1.5.5, сообщив тогда, что она содержит исправление критической уязвимости в приложении для работы с биткоин-кошельками, но не уточнив подробностей. Теперь, когда проблема была решена и прошло достаточно времени, Лаппо решил раскрыть информацию о своём открытии. Согласно его заявлению, скомпрометированный кошелёк может отправить злоумышленнику все доступные средства, в то время как пользователь будет пытаться инициировать небольшую транзакцию. При этом перед отправкой транзакции ничто не будет указывать на наличие проблемы. Как известно, при отправке транзакции с биткоин-кошелька происходит расходование всех средств, содержащихся в одном или нескольких неизрасходованных выходах. Если размер запрошенной транзакции оказывается меньше суммы неизрасходованных выходов, в блокчейне генерируется новый адрес (так называемый change-адрес или адрес для сдачи), на который переводятся излишки средств, доступные для расходования в дальнейшем. Кошельки Ledger Nano S в таком случае, однако, не удостоверялись в том, что остатки средств были зачислены на change-адрес, и не отображали второй выход, с которым, как предполагалось, должны были возвращаться эти средства, что открывало дополнительный вектор для осуществления атаки. Лаппо также приложил видео, где показал, как при переводе биткоинов на $1 между кошельками происходит списание всех доступных средств в адрес стороннего кошелька. Вместе с тем, на Reddit можно найти ряд жалоб от владельцев Ledger Nano S, заявляющих, что прошивка версии 1.5.5, являющаяся актуальной на данный момент, превратила их устройства в «кирпич». Для решения проблемы Ledger выпустила специализированный инструмент, который, судя по комментариям в сети, работает не во всех случаях, из-за чего пользователям приходится обращаться в службу поддержки в индивидуальном порядке. Фото: andersphoto
Похожие новости
- 4 Мар, 11:00
В кошельках Ledger Nano S обнаружили уязвимость
Производитель аппаратных кошельков для хранения цифровых денег Ledger сообщил о проблеме при использовании клиента Monero версии 0.14 с собственной программой компании 1.1.3. Баг связан с адресом возвратного кошелька, пользователей Nano S попросили н...
- 15 Фев, 12:40
Разработчики Ledger рассказали о непредвиденной проблеме в новой версии ПО для Nano S
Напомним, ранее исследователи Wallet.fail обнаружили ряд уязвимостей в аппаратных криптовалютных кошельках Trezor и Ledger. В результате им удалось провести серию успешных атак на кошельки во время Chaos Communication Congress в Лейпциге.
