Gampang maok sareng artos, cryptocurrency mangrupikeun salah sahiji aset digital anu paling pikaresepeun pikeun panyerang. Lantaran kitu, investor serius sering ngagunakeun cryptowallet hardware pikeun ngajaga investasi crypto maranéhanana. Dompét sapertos kitu ngajaga konci pribadi tina komputer sareng smartphone anu rentan sareng ngajantenkeun langkung aman pikeun ngadaptarkeun transaksi. Tapi hanjakalna, gaduh dompét hardware henteu ngajamin kasalametan dana anjeun, sabab salah sahiji klien kami diajar cara anu susah.

Gejala Hacking

Panyerang damel cicingeun: dina dinten anu pikasieuneun dina sajarah transaksi cryptowallet, operasi lumangsung dimana jumlah ageung artos ditransferkeun ka jalma sanés. Nanging, dina dinten éta henteu aya transaksi anu dilakukeun ku korban. Sajaba ti éta, cryptowallet malah teu plugged kana komputer!

Aaand… Geus ical!

Aaand… Geus ical!

Ngabedah dompét

Korban parantos ngagaleuh dompét hardware anu cukup populér Trezor Modél T. Nganggo kodeu sumber kabuka sapinuhna – boh parangkat lunak sareng parangkat keras – sareng dumasar kana mikrokontroler STM32F427 anu populér.

Penjual Trezor Model T parantos ngalaksanakeun sababaraha ukuran kaamanan anu, dina tiori, kedah dipercaya ngajagaan alat tina panyerang. Boh kotak sareng unit perumahan disegel ku stiker holografik, mikrokontroler aya dina modeu panyalindungan baca memori flash (RDP 2). Bootloader mariksa tanda tangan digital tina firmware sareng, upami anomali dideteksi, nunjukkeun pesen firmware anu henteu asli sareng ngahapus sadaya data dina dompét. Ngaksés alat sareng ngonfirmasi transaksi butuh kode PIN anu – bari henteu ngajagi konci master pass (dasar pikeun ngahasilkeun frasa cikal mnemonic) – dianggo pikeun énkripsi gudang dimana disimpen. Opsional, salian PIN, anjeun tiasa ngajagi konci aksés master ku kecap akses numutkeun standar BIP-39.

Tong nganggo kuring, kuring henteu aman!

Tong nganggo kuring, kuring henteu aman! (Sumber)

Dina glance kahiji, dompét kami nalungtik kasampak persis sarua jeung aslina, sarta némbongkeun euweuh tanda karuksakan. Unit ieu dibeuli ti seller dipercaya ngaliwatan ramatloka classifieds populér, sarta stiker holographic dina kotak jeung dompét sorangan sadayana hadir tur teu ruksak. Lamun dimimitian dina modeu update, dompet nembongkeun versi firmware 2.4.3 jeung versi bootloader 2.0.4.

Layar mode update dompet palsu

Layar mode update dompet palsu

Nalika damel sareng dompét, teu aya anu curiga: sadaya fungsina jalan sakumaha anu sakuduna, sareng antarbeungeut pangguna henteu béda ti anu asli. Sanajan kitu, tinangtu maling nu ngaliwatan eta, urang nuju ngagali deeper. Tur éta tempat pamanggihan metot urang dimimitian.

Langsung, urang manggihan yén ngajual pernah ngarilis versi bootloader 2.0.4. Sajarah parobahan proyék dina GitHub sacara ringkes nyatakeun yén versi ieu “dilewati kusabab alat palsu”. Saatos pernyataan anu pikaresepeun sapertos kitu, urang kedah nyandak scalpel sareng ngamimitian dissection, tangtosna…

Naon versi 2.0.4?

Naon versi 2.0.4?

Kasusna hese dibuka: dua halves dicekel babarengan jeung lem jeung jumlah copious tape dua-sided, teu beungkeutan ultrasonik dipaké dina pabrik-dijieun Trezor. Malah muhrim, di jero éta mikrokontroler lengkep béda némbongkeun ngambah soldering! Gantina STM32F427 aslina, Unit ieu boga STM32F429 kalawan pinuh ditumpurkeun microcontroller flash memori maca mékanisme panyalindungan (RDP 0 tinimbang RDP 2 dina Trezors aslina).

Sigana pisan aslina ti luar;  kumaha oge… (kénca — nyata, katuhu — palsu)

Sigana pisan aslina ti luar; kumaha oge… (kénca — nyata, katuhu — palsu)

Ku kituna, téori cryptowallet palsu kabuktian bener: éta serangan ranté suplai Palasik mana korban unsuspecting meuli alat hacked. Tapi mékanisme sabenerna maling cryptocurrency tetep can écés …

firmwares Trojan

Kami moal ngulang deui kabeneran umum ngeunaan cryptowallets anu urang bahas sateuacanna, tapi kami ngan ukur gaduh hiji panginget leutik pikeun anjeun: dompet crypto ngandung konci pribadi anjeun, sareng saha waé anu terang konci éta tiasa ngadaptarkeun transaksi naon waé sareng ngaluarkeun artos anjeun. Kanyataan yén panyerang tiasa ngalakukeun transaksi nalika dompét offline disimpen dina kolong anu gaduh hartosna aranjeunna nyalin konci pribadi saatos didamel, atanapi… aranjeunna terang sadayana!

Hatur nuhun kana panyalindungan maca memori flash ditumpurkeun, anu panyerang urang mutuskeun pikeun henteu ngaktipkeun sanggeus soldering a mikrokontroler anyar, urang gampang sasari firmware dompét jeung, ku rekonstruksi kode, kapanggih yén panyerang teu nyaho konci swasta upfront. Tapi kumaha?

Firmware bootloader sareng dompét asli nampi ngan ukur tilu modifikasi:

kahijiCék bootloader pikeun mékanisme panyalindungan sareng tanda tangan digital parantos dihapus, ngaleungitkeun masalah “layar beureum” salami cék orisinalitas firmware nalika ngamimitian.

Kadua, dina tahap initialization atanapi nalika ngareset dompét, frase cikal dihasilkeun acak diganti ku salah sahiji 20 frase cikal dihasilkeun saméméhna disimpen dina firmware hacked. Pamilik bakal ngamimitian nganggo éta sanés énggal sareng unik.

katilulamun pamaké milih nyetel kecap akses panyalindungan master-seed tambahan, ngan simbol kahiji (a…z, A…Z, 0…9 atawa ! pikeun sagala karakter husus) dipaké, nu, bareng jeung euweuh pilihan sandi, méré ukur 64 kombinasi mungkin. Ku kituna, pikeun rengat dompet palsu tangtu, ngan 64 * 20 = 1280 varian kudu dianggap.

Dompet kripto palsu bakal beroperasi sapertos biasa, tapi panyerang gaduh kontrol pinuh ti mimiti. Numutkeun sajarah transaksi, aranjeunna henteu buru-buru, ngantosan sabulan saatos dompetna dikreditkeun pertama kalina sateuacan aranjeunna nyandak artos. Nu bogana teu boga panyalindungan nanaon: kaulinan geus leungit saprak duit mimiti diasupkeun kana dompét Trojan.

Kumaha carana nyegah ancaman alat palsu

Teu gampang pikeun ngabédakeun cryptowallet palsu ti anu nyata tanpa pangaweruh sareng pangalaman khusus. Perlindungan utama nyaéta mésér dompét anjeun langsung ti vendor resmi tur pilih modél kalawan versi mikrokontroler-hijina ditangtayungan (malah Trezor aslina teu idéal dina hal ieu: aya dompet brand séjén kalawan chip leuwih ditangtayungan sarta mékanisme panyalindungan tambahan).

Ieu kudu inget yén sanajan asli, dompet unmodified tiasa rentan ka sababaraha ancaman. Ukuran prioritas kalebet pamakean kecap akses (upami dirojong ku dompét anjeun), sareng, tangtosna, panyalindungan pikeun sadaya komputer sareng smartphone.


#Tinjauan #sareng #analisa #dompet #kripto #Trezor #palsu

Dompét hardware dianggap solusi panyimpen cryptocurrency anu paling dipercaya pikeun sadayana. Alat khusus anu nandaan sadaya operasi blockchain anu gaduhna offline katingalina langkung dipercaya tibatan panyimpenan online atanapi aplikasi komputer. Barina ogé, urang ngadangu warta ngeunaan Hacking jeung bangkrut tina platform bursa cryptocurrency online ampir unggal bulan, bari aktip anu jelas rentan ka ancaman komputer umum kayaning malware.

Sanaos pertimbangan ieu masuk akal, Investasi teu tiasa ditangtayungan lengkep ku ngan saukur gaduh dompét crypto hardware, sabab pamilikna ogé rentan ka sababaraha serangan. Ku alatan éta, éta peryogi panyalindungan ngalawan…

Panas jeung tiis, hardware jeung software dompét

Sateuacan urang teraskeun kana nganalisa résiko, hayu urang nyimpulkeun sakeudeung bédana antara rupa-rupa dompét. Pikeun ngamimitian, dompét henteu nyimpen aset crypto sorangan. Inpormasi ngeunaan aset kacatet dina blockchain, sedengkeun dompét crypto ngan saukur gudang anu aman pikeun konci pribadi (rusiah) masing-masing. Pamilik peryogi konci pikeun ngarékam transaksi énggal ka blockchain – nyaéta, pikeun mindahkeun cryptocurrency. Salian konci rusiah, dompet crypto biasana nyimpen konci publik non-rusiah nu dipaké pikeun nampa mindahkeun.

Aya sababaraha cara pikeun nyimpen konci pribadi:

  1. Énkripsi dina server. Ieu dompét online atanapi custodians ditawarkeun ku séntral populér, kaasup Binance na Coinbase.
  2. Dina aplikasi mobile dina komputer atawa smartphone.
  3. Dina alat offline anu misah.
  4. Salaku runtuyan alfanumerik ditulis dina salembar kertas.

Dina conto kahiji jeung kadua, toko konci sok online; kituna, konci bisa dipaké pikeun asup transaksi on blockchain nu iraha wae. Ieu dompet “panas”.

Pikeun ngirim artos nganggo pilihan tilu atanapi opat, tindakan tambahan anu tangtu diperyogikeun: nyambungkeun alat anjeun ka komputer atanapi telepon sélulér, atanapi ngalebetkeun inpormasi tina kertas. Ieu dompet “tiis”.

Alat panyimpen konci anu mandiri khusus disebut dompét hardware; hiji aplikasi dirancang pikeun nyimpen konci dina komputer biasa tur smartphone mangrupakeun dompét software.

Hibrida dua sareng tilu ngajantenkeun pilihan anu sanés – upami rada aheng – pilihan: ngajaga konci dina smartphone anu misah sok disimpen offline. Campuran bakal ngahasilkeun dompét parangkat lunak, sanaos anu saé.

Sababaraha kecap ngeunaan dompet kertas. Dompét kertas mangrupikeun citak konci anjeun sareng / atanapi frasa siki (langkung seueur ngeunaan éta engké), sareng panggunaanana dugi ka nampi artos atanapi janten cadangan. Pikeun nyéépkeun artos anjeun, anjeun kedah ngalebetkeun konci pribadi anjeun ka solusi parangkat lunak online. Éta nalika dompét tiis anjeun janten panas.

Jinis dompét hardware

Dompét hardware paling sering katingali sapertos mémori USB atanapi konci mobil ageung. Aranjeunna biasana ningalikeun layar pikeun mariksa transaksi. Pikeun ngadaptarkeun transaksi, anjeun nyambungkeun dompét anjeun ka komputer atanapi smartphone anjeun, mindahkeun tina komputer atanapi smartphone, pariksa inpormasi dina layar dompét, sareng mastikeun tindakan ku cara ngalebetkeun kode PIN atanapi ngan saukur mencét tombol. Kauntungan utama tina dompét hardware nyaéta yén aranjeunna ngadaptarkeun operasi tanpa ngirimkeun konci pribadi anjeun ka komputer – ku kituna ngajagaan data tina mékanisme maling saderhana.

Salaku tambahan, seueur dompét ngandung pungsi tambahan sareng tiasa dianggo salaku konci hardware pikeun auténtikasi dua faktor.

Aya ogé dompét anu nyarupaan kartu bank, sareng dompét anu ngadeukeutan format “telepon offline”, tapi ieu kirang umum. Anu terakhir ngagaduhan layar anu lengkep sareng ngamungkinkeun ngadaptarkeun transaksi ku nyeken kode QR. Seueur model ieu henteu ngagaduhan palabuhan sanés sanés port ngecas, janten teu aya anu nyambungkeunana ka dunya luar kecuali kaméra sareng tampilan.

Résiko nomer hiji: leungitna atawa karuksakan

Résiko anu paling atra pikeun pamilik dompét hardware asalna tina kamungkinan kaleungitan barang-barangna. Pikeun ngajaga dompét tina pamakean anu teu diidinan – contona, upami leungit – anggo kode PIN atanapi biometrik: ieu kedah diaktipkeun dina dompét anjeun. Beda sareng telepon sélulér sareng kartu bank, PIN panjang tiasa dianggo – dugi ka 50 digit pikeun sababaraha modél; ngan inget: nu panjang – nu hadé.

Karusakan fisik dompét ogé ngancurkeun data anu disimpen di jerona, janten penting pikeun gaduh salinan cadangan konci pribadi anjeun. Nyadangkeun didamel nalika dompét crypto sorangan didamel: anjeun bakal ningali anu disebut frasa siki anu diwakilan ku senar 12 atanapi 24 kecap Inggris. Ku cara nuliskeunana dina urutan anu bener, anjeun tiasa ngadamel deui konci umum sareng pribadi anjeun. Generasi frase siki distandarisasi dina kalolobaan solusi blockchain (algoritma BIP39), janten upami, sebutkeun, dompét Ledger leungit, anjeun tiasa ngabalikeun data anjeun kana dompét hardware ti padagang sanés, sapertos Trezor, atanapi salah sahiji “panas”. “dompét software. .

Penting pisan pikeun henteu nyimpen frasa cikal dina sagala bentuk digital anu sayogi, sapertos poto dina telepon anjeun, file téks, atanapi anu sanésna. Ideally, eta kudu ditulis handap dina kertas jeung disimpen dina tempat pisan aman kayaning aman atawa aman. Éta langkung penting pikeun henteu pernah ngungkabkeun frasa siki ka saha waé, sabab ngan ukur fungsina nyaéta pikeun nyéépkeun dompét crypto anjeun anu leungit.

Résiko nomer dua: phishing sareng panipuan

Dompét hardware henteu masihan panyalindungan ngalawan rékayasa sosial. Mun korban sukarela milih mindahkeun atawa discloses frase awal maranéhna pikeun palsu “crypto-dompét teknis rojongan spesialis”, duit leungit paduli tingkat panyalindungan hardware di tempat. Jalma anu licik lamun datang ka scams: bait robah sadaya waktu. Sababaraha conto anu bersinar kalebet email pelanggaran data anu dikirim ka pamilik dompét crypto hardware, sareng situs web palsu anu dirarancang janten réplika pasti tina séntral cryptocurrency anu terkenal atanapi panyadia dompét crypto.

Butuh waspada – komo teu percaya paranoid (dina rasa positip) tina naon waé anu teu disangka-sangka – pikeun nyegah anu awon kajadian. Sumber hébat pitulung sejen nyaeta , nu ngajadikeun resiko ngadatangan situs phishing ampir enol.

Résiko nomer tilu: malware

Komputer atanapi smartphone anu kainféksi virus mangrupikeun panyabab umum kaleungitan investasi cryptocurrency. Upami korban nganggo dompét online (panas), penjahat tiasa maok konci pribadi sareng ngalaksanakeun transaksi naon waé anu diperyogikeun pikeun ngosongkeun dompét. Trik éta moal tiasa dianggo sareng dompét hardware, tapi vektor serangan sanésna tiasa dianggo dina hal ieu. Salaku conto, nalika korban ngalakukeun transfer anu sah, malware tiasa ngarobih alamat dompét tujuan pikeun mindahkeun artos ka penjahat. Jang ngalampahkeun kitu, malware ngawas clipboard jeung, pas alamat dompét crypto disalin di dinya, ngaganti eta ku alamat dompét fraudster urang.

Ancemanna tiasa dikurangan ku sababaraha cara ku cara nyocogkeun alamat anu ditampilkeun dina dompét panas atanapi dina layar dompét tiis, tapi gumantung kana alat sababaraha masalah anu sanés tiasa dimaénkeun: seueur dompét hardware gaduh layar anu alit teuing pikeun dibaca cekap. blockchain alamat nu panjang. Sareng terang yén integrasi dompét hardware sareng aplikasi komputer ogé rentan ka serangan, bahkan alamat anu ditampilkeun dina layar komputer tiasa dibohongan.

Strategi pangsaéna nyaéta pikeun nyegah malware.

Résiko nomer opat: dompét palsu sareng dirobih

Meuli dompét hardware mangrupikeun masalah sanés anu kedah ditilik kalayan ati-ati: sanaos aranjeunna kaluar tina pabrik, alat-alat ieu parantos janten udagan penjahat. Aya laporan pembeli dompét crypto anu ngajual mémori USB anu dieusian ku Trojans, unit palsu sareng firmware anu dirobih, atanapi “panggantian gratis pikeun alat anu ruksak dina garansi”.

Pikeun ngahindarkeun ancaman sapertos kitu, henteu kantos mésér dompét crypto hardware anu dianggo, tina iklan baris online, atanapi di lelang online. Sok cobian mesen ti toko online resmi anu ngajual. Nalika iket datang, mariksa alat pikeun karuksakan (streaks lem, goresan, tanda karuksakan) jeung cocog eta ka pedaran disadiakeun dina ramatloka resmi, dimana aranjeunna biasana daptar fitur kaaslian utama jeung nyadiakeun saran ngeunaan kumaha carana ngakuan palsu a.

Résiko nomer lima: peretasan fisik kalayan analisa mémori

Ieu mangrupikeun ancaman anu paling aheng – tapi sanés anu paling dipikaresep. Seueur serangan dina modél dompét populér (hiji, dua, tilu, opat) dumasar kana kanyataan yén ku cara ngaleungitkeun unit sacara fisik sareng nyambungkeun sirkuitna kana alat khusus, batur tiasa ngamanipulasi firmware, maca tina mémori, atanapi ngaganggu transfer data. antar unit komponén. Hasilna, peryogi sababaraha menit pikeun nimba konci pribadi atanapi versi énkripsi anu enteng.

Perlindungan ngalawan résiko ieu dua kali. Kahiji, nengetan husus ka kaamanan fisik dompét anjeun, ngajaga tina maling sarta pernah ninggalkeun eta unattended. Kadua, anjeun teu kedah mopohokeun ukuran pelindung tambahan, sapertos frasa sandi dina dompét Trezor.


#Dompét #crypto #panas #dompét #crypto #tiis #naon #éta #sareng #kumaha #aranjeunna #dipaling