Ledger: nuova vulnerabilità per l’hardware wallet

Ieri il team di Monokh ha dato una notizia sconvolgente, avendo scoperto una vulnerabilità in uno dei più famosi hardware wallet e che è ritenuto tra i più sicuri, ovvero Ledger.

https://t.co/Yahqqvstue

— monokh (@mo_nokh) August 4, 2020

Come possiamo leggere, il problema riguarda delle transazioni che non vengono processate correttamente, facendo credere agli utenti che vengono invece eseguite delle altre transazioni di altre blockchain invece che quella di Bitcoin (BTC).

Il problema si verifica utilizzando app diverse da quelle ufficiali per il wallet, per esempio se confermiamo una transazione di Litecoin staremo invece firmando una transazione Bitcoin.

Nel dettaglio è questo quello che succede:

1. Aprite l’applicazione Litecoin;

2. Recuperate gli indirizzi bitcoin mainnet (segwit) utilizzando getWalletPublicKey(’84’/0’/0’/0’/’).publicKey;

3. Interrogate gli UTXO e realizzate una transazione bitcoin per spendere gli output;

4. Inviate createPaymentTransactionNew(…) al dispositivo di richiesta per la firma di questa transazione;

5. Ricevete la transazione Bitcoin Mainnet valida e firmata.

Ledger, una vulnerabilità già nota

Nonostante questo problema sia stato segnalato a Ledger oltre un anno fa, precisamente il 18 gennaio del 2019, nulla è stato fatto fino a tal proposito e quindi è stato pubblicato, così adesso Ledger dovrà intervenire per forza per chiudere la falla.

Queste sono le versioni affette dal problema, per cui quindi si invita a controllare se il proprio Ledger rispecchia queste caratteristiche:

• Firmware: Tutte le versioni. Attualmente 1.6.0;
• Versioni App: Tutte le versioni. Attualmente 1.4.3;
• App: Tutte le applicazioni derivanti dall’applicazione Bitcoin come da btchip_context.h;
• App Testate: Bitcoin Testnet, Litecoin.

La cosa più sconcertante di Ledger è la quantità di errori che stanno venendo fuori. 

Ricordiamo la recente vulnerabilità scoperta sul Ledger Nano X, oppure il data breach confermato un paio di giorni fa dove più di 1 milione di indirizzi email sono stati trafugati a oltre 9.500 clienti.

Non dimentichiamo che adesso i criminali hanno questi dati che potrebbero sfruttare a loro vantaggio e bersagliare tutti quelli che hanno il dispositivo con questa falla.