Podczas konferencji Chaos Communication Congress przedstawił raport dotyczący problemów z portfelami sprzętowymi Trezor i Ledger. Autorami badania są Dmitry Nedospasov, Thomas Roth i Josh Datko. Jednocześnie stwierdzili kilka naruszeń bezpieczeństwa portfeli: ataki przez kanał boczny, ataki na łańcuch dostaw, luki na poziomie oprogramowania układowego i układu scalonego.
Wielu producentów takich urządzeń wyposaża swoje produkty i opakowania w naklejki zabezpieczające, informujące, że nikt nie otwierał opakowania ani samego urządzenia. Eksperci rozpoczęli prezentację od prostej demonstracji: za pomocą zwykłej suszarki do włosów usunięto naklejki umieszczone na pudełku Trezor One oraz na porcie USB portfela, nie pozostawiając śladów. Najważniejsze to kontrolować temperaturę i nie przegrzewać naklejek ani gadżetów.
Urządzenia Ledger są dostarczane bez naklejki zabezpieczającej, ponieważ skutecznie gwarantują, że kontrola integralności jest wykonywana za każdym razem, gdy urządzenie jest włączane, a układ Secure Element uniemożliwia wszelkie próby fizycznej ingerencji. Dlatego po usunięciu naklejek z Trezora eksperci zwrócili się ku Ledgerowi, „otworzyli” portfele i uzyskali dostęp do ich komponentów sprzętowych.
Następnie eksperci powiedzieli, że w portfelach Trezor można wymienić mikrokontroler. „Po wykonaniu tej operacji można zainstalować swój skompromitowany program rozruchowy na urządzeniach Trezor” – wyjaśnia Datko. Podczas prezentacji eksperci pominęli ten etap, ale wyjaśnili uczestnikom, że w laboratorium udało im się podłączyć do sprzętowego debuggera i uzyskać nieograniczony dostęp do układu, co pozwoliło im przeprogramować komponenty za pomocą złośliwego kodu.
Portfel Ledger z kolei był wyposażony w najprostszy implant sprzętowy, który pozwala zatwierdzać transakcje bez udziału użytkownika. Eksperci wydali na to zaledwie 3,16 dolara: zainstalowali w urządzeniu przełącznik RF, który można zdalnie sterować za pomocą fal radiowych (z odległości co najmniej 11 metrów przy nadajniku 50 W).
Jeśli chodzi o komponent programowy portfeli, badacze zdołali odwrócić inżynieryjnie mechanizm aktualizacji oprogramowania układowego w Ledger Nano S i znaleźć błąd pozwalający zapisać niestandardowe oprogramowanie układowe na urządzeniu. Producent zapewnił ochronę przed takimi atakami: autentyczność obrazu oprogramowania układowego jest weryfikowana za pomocą funkcji kryptograficznej. Jednak po zakończeniu testu stała 0xF00BABE jest zapisywana w pamięci i test wykonywany jest tylko raz, a nie przy każdym uruchomieniu urządzenia. W rezultacie badacze doszli do wniosku, że aby obejść mechanizm ochronny, wystarczyło umieścić adres pamięci 0xF00BABE w określonym miejscu. Po wykonaniu tej czynności udało im się uruchomić grę „Snake” na skompromitowanym urządzeniu, używając dwóch dostępnych przycisków do sterowania ruchem na maleńkim wyświetlaczu portfela.
W przypadku Ledger Blue możliwe było przeprowadzenie ataku przez kanał boczny (side-channel attack). Badając sprzęt urządzenia, Thomas Roth stwierdził, że portfel jest wyposażony w długi przewodnik, który działa jak antena. Sygnał wzmacnia się, jeśli urządzenie jest podłączone kablem USB. Za pomocą sprzętu SDR eksperci przechwycili i przeanalizowali te fale radiowe. Roth opracował zatem framework, który automatycznie rejestrował sygnał podczas wprowadzania kodu PIN i wykorzystywał model sztucznej inteligencji do przekształcenia tych danych w informacje czytelne dla człowieka. W rezultacie eksperci uzyskali 90% trafności tych „prognoz”.
Kolejny problem ujawniono w portfelu Trezor One, który działa z mikrokontrolerem STM32F205, kontrolującym zasadniczo działanie wszystkich komponentów. Chodzi o to, że w 2017 roku w tym modelu mikrokontrolery miały lukę przed wprowadzeniem błędów (fault injection). W zeszłym roku eksperci nie wiedzieli, czy ten problem dotyczy również portfeli sprzętowych, ale eksperci z CCC poinformowali, że po zbadaniu procedur pobierania i aktualizacji odkryli, iż klucz prywatny lub klucz główny może zostać wyodrębniony z pamięci RAM. Taki atak dałby napastnikowi dostęp do kryptowaluty i pozwoliłby przelać środki na inny portfel.
Producenci już odpowiedzieli na prezentację raportu ekspertów. Deweloperzy Ledger oświadczyli , że wszystkie zademonstrowane ataki były trudne do przeprowadzenia, wymagały fizycznego dostępu do urządzenia, a zwykli użytkownicy nie mają powodu do obaw, ponieważ taki kompromis jest trudny do zrealizowania w praktyce.
Deweloperzy Trezor z kolei poinformowali , że już przygotowują poprawki, choć podkreślili również, że ataki są możliwe jedynie przy fizycznym dostępie do urządzenia.
