Lors de la conférence, le Chaos Communication Congress a présenté un rapport sur les problèmes liés aux portefeuilles matériels Trezor et Ledger. Les auteurs de l’étude sont Dmitry Nedospasov, Thomas Roth et Josh Datko. Ils ont constaté simultanément plusieurs atteintes à la sécurité des portefeuilles: attaques sur un canal tiers, attaques sur la chaîne d’approvisionnement, vulnerabilidades al nivel del firmware y del chip.
Muchos fabricantes de este tipo de dispositivos dotan a sus productos y embalajes de pegatinas de protección que indican que no se ha abierto el embalaje ni el propio dispositivo. Los expertos comenzaron su presentación con una demostración sencilla: con un secador de pelo convencional, retiraron sin dejar rastro las pegatinas colocadas en la caja del Trezor One y en el puerto USB de la cartera. Lo esencial es vigilar la temperatura y no calentar demasiado las pegatinas ni los dispositivos.
Los dispositivos Ledger se entregan sin etiqueta de seguridad, ya que garantizan eficazmente que la comprobación de integridad se realiza cada vez que se enciende el dispositivo y que el chip Secure Element impide cualquier intento de intervención física. Por ello, tras deshacerse de las pegatinas del Trezor, los expertos pasaron a Ledger, «abrieron» las carteras y accedieron a sus componentes de hardware.
A continuación, los expertos explicaron que en las carteras Trezor es posible sustituir el microcontrolador. «Una vez hecho esto, se puede instalar un gestor de arranque comprometido en los dispositivos Trezor», explica Datko. Durante la presentación, los expertos omitieron este paso, pero explicaron a los participantes que en el laboratorio habían logrado conectarse al depurador de hardware y obtener acceso libre al chip, lo que les permitía reprogramar los componentes con código malicioso.
La cartera Ledger, por su parte, estaba equipada con el implante de hardware más sencillo, que permite aprobar transacciones sin intervención del usuario. Los expertos solo gastaron 3,16 dólares: instalaron en el dispositivo un conmutador RF que puede controlarse a distancia mediante radiofrecuencias (al menos a una distancia de 11 metros con un transmisor de 50 W).
En cuanto al componente de software de las carteras, los investigadores lograron invertir el mecanismo de actualización del firmware del Ledger Nano S y buscar un error que permitía escribir un firmware personalizado en el dispositivo. El fabricante había previsto una protección contra este tipo de ataques: la autenticidad de la imagen del firmware se verifica mediante una función criptográfica. Sin embargo, una vez finalizada la comprobación, la constante 0xF00BABE se escribe en la memoria y la verificación se realiza una sola vez, y no en cada arranque del dispositivo. En consecuencia, los investigadores llegaron a la conclusión de que, para eludir el mecanismo de protección, bastaba con colocar la dirección de memoria 0xF00BABE en una ubicación específica. Hecho esto, pudieron iniciar el juego «Snake» en el dispositivo comprometido, utilizando los dos botones disponibles para controlar el movimiento en la diminuta pantalla de la cartera.
En el Ledger Blue era posible llevar a cabo un ataque de canal lateral (ataque lateral). Al estudiar el hardware del dispositivo, Thomas Roth constató que la cartera disponía de un conductor largo que se comportaba como una antena. La señal se amplifica si el dispositivo está conectado a un cable USB. Con ayuda de un equipo SDR, los expertos interceptaron y analizaron estas ondas de radio. Así, Roth desarrolló un framework que registraba automáticamente una señal al introducir un código PIN y utilizaba un modelo de inteligencia artificial para convertir esos datos en información legible para las personas. Como resultado, los expertos lograron una precisión del 90 % en estas “predicciones”.
Se descubrió otro problema en la cartera Trezor One, que funciona con el microcontrolador STM32F205, el cual controla esencialmente el funcionamiento de todos los componentes. Lo cierto es que, en 2017, en los microcontroladores de este modelo se descubrió una vulnerabilidad a la inyección de fallos (fault injection). El año pasado, los expertos no sabían si este problema afectaba a las carteras de hardware, pero los expertos del CCC indicaron que, tras estudiar los procedimientos de carga y actualización, descubrieron que se podía extraer de la RAM una clave privada o una clave semilla. Un ataque de este tipo daría al atacante acceso a las criptomonedas y le permitiría transferir fondos a otra cartera.
Los fabricantes ya han respondido a la presentación del informe de los expertos. Así, los desarrolladores de Ledger han declarado que todos los ataques demostrados eran difíciles de llevar a cabo, requerían acceso físico al dispositivo y que los usuarios corrientes no tenían motivos para preocuparse, ya que un compromiso de este tipo resulta difícil de poner en práctica.
Los desarrolladores de Trezor, a su vez, han indicado que ya preparaban parches, aunque también subrayaron que los ataques solo son viables con acceso físico al dispositivo.
