Durante la conferenza, il Chaos Communication Congress ha presentato un rapporto sui problemi legati ai portafogli hardware Trezor e Ledger. Gli autori dello studio sono Dmitry Nedospasov, Thomas Roth e Josh Datko. Hanno riscontrato contemporaneamente diverse violazioni della sicurezza dei portafogli: attacchi su un canale terzo, attacchi alla catena di approvvigionamento, vulnerabilità a livello di firmware e di chip.
Molti produttori di questi dispositivi dotano i propri prodotti e le confezioni di adesivi di protezione che indicano che né la confezione né il dispositivo stesso sono stati aperti. Gli esperti hanno iniziato la presentazione con una dimostrazione semplice: con un comune asciugacapelli, gli adesivi applicati sulla scatola del Trezor One e sulla porta USB del portafoglio sono stati rimossi senza lasciare tracce. L’essenziale è controllare la temperatura e non surriscaldare gli adesivi e i gadget.
I dispositivi Ledger sono consegnati senza etichetta di sicurezza, poiché garantiscono efficacemente che il controllo di integrità venga eseguito ogni volta che il dispositivo viene acceso e che il chip Secure Element impedisca qualsiasi tentativo di manomissione fisica. Pertanto, dopo essersi sbarazzati degli adesivi sul Trezor, gli esperti si sono rivolti al Ledger, hanno «aperto» i portafogli e hanno avuto accesso ai loro componenti hardware.
Successivamente, gli esperti hanno affermato che nei portafogli Trezor è possibile sostituire il microcontrollore. «Una volta eseguita questa operazione, è possibile installare il proprio bootloader compromesso sui dispositivi Trezor», spiega Datko. Durante la presentazione, gli esperti hanno saltato questo passaggio, ma hanno spiegato ai partecipanti che in laboratorio erano riusciti a collegarsi al debugger hardware e a ottenere un accesso libero al chip, il che permetteva loro di riflashare i componenti con codice malevolo.
Il portafoglio Ledger, a sua volta, era dotato dell’implant hardware più semplice, che consente di approvare transazioni senza l’intervento dell’utente. Gli esperti vi hanno speso solo 3,16 dollari: hanno installato sul dispositivo uno switch RF, che può essere controllato a distanza tramite radiofrequenze (almeno a una distanza di 11 metri con un trasmettitore da 50 W).
Per quanto riguarda la componente software dei portafogli, i ricercatori sono riusciti a effettuare il reverse engineering del meccanismo di aggiornamento del firmware sul Ledger Nano S e a individuare un bug che consente di scrivere un firmware personalizzato sul dispositivo. Il produttore ha previsto una protezione contro tali attacchi: l’autenticità dell’immagine del firmware viene verificata tramite una funzione crittografica. Tuttavia, una volta completato il test, la costante 0xF00BABE viene scritta in memoria e il test viene eseguito una sola volta, e non a ogni avvio del dispositivo. Di conseguenza, i ricercatori hanno concluso che, per aggirare il meccanismo di protezione, bastava collocare l’indirizzo di memoria 0xF00BABE in una posizione specifica. Fatto ciò, sono riusciti ad avviare il gioco «Snake» sul dispositivo compromesso, utilizzando i due pulsanti disponibili per controllare il movimento sul minuscolo display del portafoglio.
Sul Ledger Blue era possibile condurre un attacco su canale laterale (attacco side-channel). Studiando l’hardware del dispositivo, Thomas Roth ha scoperto che il portafoglio era dotato di un lungo conduttore che si comportava come un’antenna. Il segnale viene amplificato se il dispositivo è collegato a un cavo USB. Con un’apparecchiatura SDR, gli esperti hanno intercettato e analizzato queste onde radio. Roth ha quindi sviluppato un framework che registrava automaticamente un segnale durante l’inserimento di un codice PIN e utilizzava un modello di intelligenza artificiale per convertire questi dati in informazioni leggibili dall’uomo. Di conseguenza, gli esperti sono riusciti a ottenere una precisione del 90% in queste «previsioni».
Un altro problema è stato rilevato nel portafoglio Trezor One, che funziona con il microcontrollore STM32F205, il quale controlla essenzialmente il funzionamento di tutti i componenti. Il fatto è che nel 2017, in questo modello, i microcontrollori presentavano una vulnerabilità legata all’introduzione di guasti (fault injection). Lo scorso anno, gli esperti non sapevano se questo problema si estendesse ai portafogli hardware, ma gli esperti del CCC hanno indicato che, dopo aver studiato le procedure di download e aggiornamento, hanno scoperto che una chiave privata o una chiave di base poteva essere estratta dalla RAM. Un simile attacco darebbe all’aggressore accesso alle criptovalute e gli permetterebbe di trasferire fondi su un altro portafoglio.
I produttori hanno già risposto alla presentazione del rapporto degli esperti. Così, gli sviluppatori di Ledger hanno dichiarato che tutti gli attacchi dimostrati erano difficili da mettere in atto, richiedevano un accesso fisico al dispositivo e che gli utenti comuni non avevano motivo di preoccuparsi, poiché un tale compromesso è difficile da realizzare nella pratica.
Gli sviluppatori di Trezor, a loro volta, hanno indicato che stavano già preparando delle patch, sottolineando però che gli attacchi sono realizzabili solo con un accesso fisico al dispositivo.
