MetaMask предупредил об уязвимости в старых версиях кошелька

CryptoPro

Команда MetaMask заявила, что с помощью компании в области безопасности Halborn удалось обнаружить критическую уязвимость в системе безопасности в старых версиях своего криптокошелька. За оказанную помощь компания получила вознаграждение в размере $50 000

Для пользователей расширения MetaMask до версии 10.11.3 наличие 3-х необходимых условий могло стать причиной потенциальной уязвимости: незашифрованный жесткий диск, импорт секретной фразы восстановления в расширение MetaMask на устройстве, которое было скомпрометировано, украдено или к которому есть несанкционированный доступ, использование опции «показать секретную фразу восстановления», что позволяло просматривать ее на экране во время процесса импорта.

«Мы обнаружили, что секретная фраза восстановления может быть похищена при весьма специфических обстоятельствах и добавили новые средства защиты», – сообщила команда MetaMask

Судя по всему, эксплойт затрагивает все браузерные версии кошелька MetaMask до обновления 10.11.3 и все операционные системы (в случае совпадения всех 3-х условий), но не мобильные версии.

MetaMask напомнил пользователям о необходимости перевести свои средства из скомпрометированных кошельков.

Ivan Ivanov

в принципе, вероятность совпадения всех 3-х условий не так велика, но команде респект, что даже об этом предупреждают холдеров.

Gandler

@Ivan-Ivanov однако не такая уж и большая сумма оплаты за находку. Если бы за них платили больше, хакерам выгоднее было бы быть белыми.

Ivan Ivanov

@Gandler наверное баг не такой серьезный, чтобы была крупная сумма. глянь, нужно было совпадение аж 3 условий сразу, чтобы он активировался.

Gandler

@Ivan-Ivanov помнится что и за другие аналогичные тоже не так много платят. Хакеры обычно забирают раз в 20-40 больше.

Ivan Ivanov

@Gandler насколько я понимаю, то есть градация по степень серьезности багов. за самые простые платят мелочь, а за очень серьезные суммы могут быть миллионные.

Gandler

@Ivan-Ivanov а для нас есть более спокойные варианта тестирования и заработка. Например вот этот с мануалом.
evmosnameservice
manual

Misstorm

Многим сервисам просто везёт что их старые версии никто не смог взломать до этого. А ведь с Тезер тоже было нечто подобное когда с помощью другого устройства можно было взломать оригинальное.

Ivan Ivanov

@Misstorm нужно еще найти эту уязвимость, а это не так просто. тратить сутки на поиски без гарантии успеха далеко не каждый готов.