OneKey は、ハードウェアウォレットが 1 秒でハッキングされる脆弱性を修正したと述べています。

暗号ハードウェアウォレットプロバイダーの OneKey は、同社のハードウェアウォレットの XNUMX つが XNUMX 秒以内にハッキングされる可能性があるファームウェアの脆弱性に既に対処したと述べています。

YouTube の動画掲示 10 月 XNUMX 日、サイバーセキュリティスタートアップの Unciphered は、OneKey Mini を「クラックオープン」できる「大規模な重大な脆弱性」を悪用する方法を発見したことを明らかにしました。

Unciphered のパートナーである Eric Michaud 氏によると、デバイスを分解してコーディングを挿入することで、OneKey Mini を「工場出荷時のモード」に戻し、セキュリティピンをバイパスすることができました。財布。

「CPU とセキュアエレメントがあります。セキュアエレメントは、暗号鍵を保持する場所です。現在、通常、通信は、処理が行われる CPU とセキュアエレメントの間で暗号化されます」と Michaud 氏は説明します。

「この場合、そうするように設計されていないことがわかりました。したがって、通信を監視して傍受し、独自のコマンドを挿入するツールを中間に配置することができます」と彼は言い、次のように付け加えました。

「セキュアエレメントにファクトリーモードであることを伝え、暗号化されたお金であるニーモニックを取り出すことができる場所でそれを行いました。」

ただし、10 月 XNUMX 日の声明で、OneKey は、すでに対処する Unciphered によって特定されたセキュリティ上の欠陥は、同社のハードウェアチームが「今年初めに」セキュリティパッチを更新したが、「誰も影響を受けていない」こと、および「開示されたすべての脆弱性が修正されている、または修正されている」ことを指摘しています。

最近のセキュリティ修正レポートへの対応 https://t.co/Dp9nNp1D0U
— OneKey オープンソースウォレット (@OneKeyHQ) 2023 年 2 月 10 日

「とはいえ、パスワードフレーズと基本的なセキュリティプラクティスがあれば、Unciphered によって公開された物理的な攻撃でさえ、OneKey ユーザーに影響を与えることはありません。」

同社はさらに、脆弱性が懸念される一方で、Unciphered によって特定された攻撃ベクトルはリモートで使用できず、「デバイスを分解し、ラボで専用の FPGA デバイスを介して物理的にアクセスして実行できるようにする」必要があることを強調しました。

OneKey によると、Unciphered とのやり取りの中で、他のウォレットが同様の問題があることが判明.

「また、OneKey のセキュリティへの貢献に感謝するために Unciphered 報奨金を支払いました」と OneKey は述べています。

ブログ投稿で、OneKey はユーザーのセキュリティを確保するために多大な努力を払ってきたと述べています。サプライチェーン攻撃 — ハッカーが本物のウォレットを彼らが管理するものに交換したとき。

OneKey の対策には、配送用の改ざん防止パッケージと、Apple のサプライチェーンサービスプロバイダーの使用が含まれており、厳格なサプライチェーンセキュリティ管理を確保しています。

将来的には、オンボード認証を実装し、新しいハードウェアウォレットをより高いレベルのセキュリティコンポーネントでアップグレードしたいと考えています。

OneKey は、主なハードウェアウォレットの目的マルウェア攻撃、コンピューターウイルス、およびその他のリモートの危険からユーザーのお金を保護するために常に使用されてきましたが、残念ながら、100% 安全なものはありません。

「シリコンクリスタルからチップコード、ファームウェアからソフトウェアまで、ハードウェアウォレットの製造プロセス全体を見ると、たとえそれが核兵器であっても、十分な資金、時間、およびリソースがあれば、ハードウェアの障壁を破ることができると言っても過言ではありません。コントロールシステム。」