Beveiligingsbedrijf Unciphered heeft de populaire hardware wallet OneKey gehackt

Cybersecurity-startup Unciphered gedemonstreerd een hack van een opmerkelijke hardware crypto-portemonnee vervaardigd door OneKey, een in Hong Kong gevestigd bedrijf dat oprichtte $ 20 miljoen vorig jaar.

Unciphered toonde wat een "man-in-the-middle"-hack van de portemonnee wordt genoemd in een YouTube-video waarin het de mnemonic seed-zin, ook wel bekend als de privésleutel, uit de OneKey Mini-hardwareportemonnee kon extraheren door misbruik te maken van een kwetsbaarheid . OneKey heeft de kwetsbaarheid onmiddellijk gepatcht nadat er contact was opgenomen.

In een hardware wallet worden privésleutels die toegang verlenen tot crypto-activa offline opgeslagen en beschermd door een fysiek apparaat, waardoor ze veel minder vatbaar zijn voor hacking of diefstal. Maar Unciphered kon de hardwarebeveiligingsmechanismen omzeilen die in OneKey Mini waren ingevoerd.

Het bedrijf zei dat het het gebrek aan codering tussen de CPU van de hardware wallet en het beveiligde element uitbuitte door een in het veld programmeerbare gate-array te gebruiken die de communicatie tussen de processor en het beveiligde element, dat de seed-zin van het apparaat bevat, kon onderscheppen.

Niemand getroffen

"De FPGA is een supersnelle processor, ook wel bekend als een in het veld programmeerbare gate-array, waarmee we verschillende algoritmen kunnen doorlopen, de beveiliging van de portemonnee kunnen omzeilen en de geheugensteuntjes kunnen extraheren", aldus Unciphered.

OneKey erkende de kwetsbaarheid in een verklaring en zei dat het de beveiligingspatch had bijgewerkt.

"Niemand werd getroffen", aldus het bedrijf. benadrukkend dat een potentiële aanval, zoals aangetoond door Unciphered, niet op afstand kan worden misbruikt en zowel de crypto-portemonnee van een gebruiker als gespecialiseerde FPGA-apparatuur vereist.

OneKey zei dat het Unciphered een premie heeft betaald voor de onthulling.

© 2023 The Block Crypto, Inc. Alle rechten voorbehouden. Dit artikel is uitsluitend bedoeld voor informatieve doeleinden. Het wordt niet aangeboden of bedoeld om te worden gebruikt als juridisch, fiscaal, investerings-, financieel of ander advies.