Tijdens de conferentie heeft het Chaos Communication Congress a een rapport gepresenteerd over de problemen met de hardwarewallets van Trezor en Ledger. De auteurs van de studie zijn Dmitry Nedospasov, Thomas Roth en Josh Datko. Zij stelden tegelijkertijd meerdere beveiligingslekken in de wallets vast: aanvallen via een derde kanaal, aanvallen op de toeleveringsketen, en kwetsbaarheden op het niveau van de firmware en de chip.
Veel fabrikanten van dergelijke apparaten voorzien hun producten en verpakkingen van beveiligingsstickers die aangeven dat de verpakking of het apparaat zelf niet is geopend. De experts begonnen hun presentatie met een eenvoudige demonstratie: met een gewone haardroger werden de stickers op de doos van de Trezor One en de USB-poort van de wallet verwijderd zonder sporen achter te laten. Het belangrijkste is de temperatuur in de gaten te houden en de stickers en gadgets niet te sterk te verhitten.
Grootboekapparaten worden zonder beveiligingssticker geleverd, omdat zij er effectief voor zorgen dat de integriteitscontrole wordt uitgevoerd telkens wanneer het apparaat wordt ingeschakeld, en omdat de Secure Element-chip elke poging tot fysieke interventie verhindert. Daarom wendden de experts zich, nadat zij de stickers van de Trezor hadden verwijderd, tot de Ledger, „openden” de wallets en kregen toegang tot hun hardwarecomponenten.
Vervolgens zeiden de experts dat je bij Trezor-wallets de microcontroller kunt vervangen. „Zodra dat is gedaan, kun je je gecompromitteerde bootloader op Trezor-apparaten installeren”, legt Datko uit. Tijdens de presentatie sloegen de experts deze stap over, maar legden zij de deelnemers uit dat zij in het laboratorium erin waren geslaagd verbinding te maken met de hardware-debugger en gratis toegang tot de chip te krijgen, waardoor zij de componenten konden herprogrammeren met kwaadaardige code.
De Ledger-wallet was op zijn beurt uitgerust met het eenvoudigste hardware-implantaat, waarmee transacties kunnen worden goedgekeurd zonder tussenkomst van de gebruiker. De experts hebben daar slechts 3,16 dollar aan uitgegeven: zij installeerden een RF-schakelaar op het apparaat, die op afstand kan worden bediend met radiofrequenties (op een afstand van minstens 11 meter met een zender van 50 W).
Wat de softwarecomponent van de wallets betreft, zijn de onderzoekers erin geslaagd het mechanisme voor firmware-updates op de Ledger Nano S te analyseren en een bug te vinden waarmee aangepaste firmware naar het apparaat kan worden geschreven. De fabrikant had een bescherming tegen dergelijke aanvallen voorzien: de authenticiteit van het firmwarebeeld wordt gecontroleerd met behulp van een cryptografische functie. Na de controle wordt echter de constante 0xF00BABE in het geheugen geschreven en wordt de test slechts één keer uitgevoerd, en niet bij elke opstart van het apparaat. De onderzoekers kwamen daarom tot de conclusie dat het om het beschermingsmechanisme te omzeilen voldoende was om het geheugenadres 0xF00BABE op een specifieke plaats te zetten.Daarna konden zij het spel „Snake” starten op het gecompromitteerde apparaat, met behulp van de twee beschikbare knoppen om de beweging te besturen op het minuscule scherm van de wallet.
Op de Ledger Blue was een zijkanaalaanval (side-channel attack) mogelijk. Bij het bestuderen van de hardware van het apparaat ontdekte Thomas Roth dat de wallet was voorzien van een lange geleider die zich als een antenne gedroeg. Het signaal wordt versterkt als het apparaat op een USB-kabel is aangesloten. Met behulp van SDR-apparatuur onderschepten en analyseerden de experts deze radiogolven. Roth ontwikkelde daarom een framework dat automatisch een signaal registreerde bij het invoeren van een pincode en een model voor kunstmatige intelligentie gebruikte om deze gegevens om te zetten in voor mensen leesbare informatie. Daardoor slaagden de experts erin een nauwkeurigheid van 90% te bereiken bij deze „voorspellingen”.
Een ander probleem werd onthuld in de Trezor One-wallet, die werkt met de microcontroller STM32F205, die in wezen de werking van alle componenten aanstuurt. Het feit is dat microcontrollers van dit model in 2017 kwetsbaar bleken voor fouteninjectie (fault injection). Vorig jaar wisten de experts niet of dit probleem ook gold voor hardwarewallets, maar experts van het CCC lieten weten dat zij na het bestuderen van de download- en updateprocedures hadden ontdekt dat een privésleutel of een basissleutel uit het RAM-geheugen kon worden geëxtraheerd. Zo’n aanval zou de aanvaller toegang geven tot de cryptovaluta en hem in staat stellen geld over te maken naar een andere wallet.
De fabrikanten hebben al gereageerd op de presentatie van het expertrapport. Zo verklaarden de ontwikkelaars van Ledger dat alle gedemonstreerde aanvallen moeilijk uit te voeren waren, fysieke toegang tot het apparaat vereisten, en dat gewone gebruikers geen reden tot zorg hadden, omdat een dergelijke compromittering in de praktijk moeilijk te realiseren is.
De ontwikkelaars van Trezor gaven op hun beurt aan dat zij al bezig waren met correcties, al benadrukten zij ook dat de aanvallen alleen uitvoerbaar zijn met fysieke toegang tot het apparaat.
