Während der Konferenz präsentierte der Chaos Communication Congress einen Bericht über Probleme mit den Hardware-Wallets Trezor und Ledger. Die Autoren der Studie sind Dmitry Nedospasov, Thomas Roth und Josh Datko. Sie stellten gleichzeitig mehrere Sicherheitslücken bei den Wallets fest: Angriffe über einen Seitenkanal, Angriffe auf die Lieferkette sowie Schwachstellen in der Firmware und im Chip.
Viele Hersteller solcher Geräte versehen ihre Produkte und Verpackungen mit Schutzaufklebern, die anzeigen, dass weder die Verpackung noch das Gerät selbst geöffnet wurden. Die Experten begannen ihren Vortrag mit einer einfachen Demonstration: Mit einem handelsüblichen Föhn ließen sich die Aufkleber auf der Verpackung des Trezor One und am USB-Anschluss des Wallets ohne Rückstände entfernen. Entscheidend ist, die Temperatur im Blick zu behalten und die Aufkleber und Gadgets nicht zu stark zu erhitzen.
Die Ledger-Geräte werden ohne Sicherheitsetikett ausgeliefert, da sie effektiv garantieren, dass bei jedem Einschalten des Geräts eine Integritätsprüfung durchgeführt wird, und der Secure-Element-Chip jeden Versuch eines physischen Eingriffs verhindert. Nachdem die Experten die Aufkleber bei Trezor entfernt hatten, wandten sie sich anschließend Ledger zu, „öffneten“ die Wallets und verschafften sich Zugriff auf deren Hardwarekomponenten.
Anschließend erklärten die Experten, dass sich bei Trezor-Wallets der Mikrocontroller austauschen lässt. „Nach diesem Schritt kann man auf Trezor-Geräten den eigenen, manipulierten Bootloader installieren“, erklärt Datko. Während des Vortrags ließen die Experten diesen Schritt aus, erläuterten den Teilnehmenden jedoch, dass sie im Labor erfolgreich einen Hardware-Debugger angeschlossen und ungehinderten Zugriff auf den Chip erlangt hatten, was es ihnen ermöglichte, die Komponenten mithilfe von Schadcode neu zu flashen.
Das Ledger-Wallet wiederum war mit dem einfachsten Hardware-Implantat ausgestattet, das es ermöglicht, Transaktionen ohne Benutzerinteraktion zu bestätigen. Die Experten gaben dafür lediglich 3,16 Dollar aus: Sie installierten einen HF-Schalter im Gerät, der sich per Funkfrequenz aus der Ferne steuern lässt (mindestens aus 11 Metern Entfernung mit einem 50-W-Sender).
Was die Software der Wallets betrifft, gelang es den Forschern, den Mechanismus zur Firmware-Aktualisierung des Ledger Nano S zu analysieren und einen Fehler zu finden, der das Schreiben einer benutzerdefinierten Firmware auf das Gerät ermöglicht. Der Hersteller hatte einen Schutz gegen solche Angriffe vorgesehen: Die Echtheit des Firmware-Abbilds wird mithilfe einer kryptografischen Funktion überprüft. Nach dem Test wird jedoch die Konstante 0xF00BABE in den Speicher geschrieben, und der Test wird nur einmal durchgeführt, nicht bei jedem Start des Geräts. Daraus schlossen die Forscher, dass es zur Umgehung des Schutzmechanismus genügte, die Speicheradresse 0xF00BABE an einer bestimmten Stelle zu platzieren. Danach konnten sie auf dem kompromittierten Gerät das Spiel „Snake“ starten und die beiden verfügbaren Tasten nutzen, um die Bewegung auf dem winzigen Display des Wallets zu steuern.
Beim Ledger Blue war ein Seitenkanalangriff (Side-Channel-Angriff) möglich. Bei der Untersuchung der Hardware des Geräts stellte Thomas Roth fest, dass das Wallet über einen langen Leiter verfügte, der sich wie eine Antenne verhielt. Das Signal wird verstärkt, wenn das Gerät an ein USB-Kabel angeschlossen ist. Mit SDR-Equipment fingen die Experten diese Funkwellen ab und analysierten sie. Roth entwickelte daraufhin ein Framework, das bei der Eingabe eines PIN-Codes automatisch ein Signal aufzeichnete und ein Modell der künstlichen Intelligenz nutzte, um diese Daten in für Menschen lesbare Informationen umzuwandeln. Dadurch gelang es den Experten, diese „Vorhersagen“ mit einer Genauigkeit von 90 % zu treffen.
Ein weiteres Problem wurde beim Trezor One entdeckt, der mit dem Mikrocontroller STM32F205 arbeitet, welcher im Wesentlichen den Betrieb aller Komponenten steuert. Tatsächlich wurde 2017 bei diesem Modell in den Mikrocontrollern eine Schwachstelle vor der Einführung von Fehlern (Fault Injection) entdeckt. Im vergangenen Jahr war unklar, ob dieses Problem auch Hardware-Wallets betrifft, doch die Experten des CCC gaben an, nach der Untersuchung der Download- und Aktualisierungsverfahren festgestellt zu haben, dass ein privater Schlüssel oder ein Grundschlüssel aus dem RAM extrahiert werden kann. Ein solcher Angriff würde dem Angreifer Zugang zur Kryptowährung verschaffen und ihm ermöglichen, Gelder auf ein anderes Wallet zu überweisen.
Die Hersteller haben bereits auf die Präsentation des Expertenberichts reagiert. So erklärten die Entwickler von Ledger , dass alle vorgeführten Angriffe schwer umzusetzen seien, einen physischen Zugriff auf das Gerät erforderten und normale Nutzer keinen Grund zur Sorge hätten, da ein solcher Kompromiss in der Praxis schwer zu realisieren sei.
Die Entwickler von Trezor ihrerseits erklärten, dass sie bereits an Korrekturen arbeiten, betonten jedoch ebenfalls, dass die Angriffe nur mit physischem Zugriff auf das Gerät durchführbar seien.
