Обнародована информация о критической уязвимости кошельков Ledger Nano S

casio

Студент Санкт-Петербургского политехнического университета Сергей Лаппо в своём блоге поделился информацией о критической уязвимости аппаратных крипто-кошельков Ledger Nano S. Изначально он связался с производителем в рамках программы по отлову багов в ноябре 2018 года, а в середине января Ledger выпустил прошивку версии 1.5.5, сообщив тогда, что она содержит исправление критической уязвимости в приложении для работы с биткоин-кошельками, но не уточнив подробностей. Теперь, когда проблема была решена и прошло достаточно времени, Лаппо решил раскрыть информацию о своём открытии.

Согласно его заявлению, скомпрометированный кошелёк может отправить злоумышленнику все доступные средства, в то время как пользователь будет пытаться инициировать небольшую транзакцию. При этом перед отправкой транзакции ничто не будет указывать на наличие проблемы.

Как известно, при отправке транзакции с биткоин-кошелька происходит расходование всех средств, содержащихся в одном или нескольких неизрасходованных выходах. Если размер запрошенной транзакции оказывается меньше суммы неизрасходованных выходов, в блокчейне генерируется новый адрес (так называемый change-адрес или адрес для сдачи), на который переводятся излишки средств, доступные для расходования в дальнейшем.

Кошельки Ledger Nano S в таком случае, однако, не удостоверялись в том, что остатки средств были зачислены на change-адрес, и не отображали второй выход, с которым, как предполагалось, должны были возвращаться эти средства, что открывало дополнительный вектор для осуществления атаки.

Лаппо также приложил видео, где показал, как при переводе биткоинов на $1 между кошельками происходит списание всех доступных средств в адрес стороннего кошелька.

Ivan Ivanov

интересно, сколько студент получил денег за свою находку. может теперь хватит на открытие собственного бизнеса?

casio

Участник @ivan-ivanov написал в Обнародована информация о критической уязвимости кошельков Ledger Nano S:

интересно, сколько студент получил денег за свою находку. может теперь хватит на открытие собственного бизнеса?

ну не думаю что много он там получил ... иначе в блогах не постил бы

Ivan Ivanov

@casio может для рекламы подойдет, теперь его на работу в хорошую фирму могут взять.

casio

Участник @ivan-ivanov написал в Обнародована информация о критической уязвимости кошельков Ledger Nano S:

@casio может для рекламы подойдет, теперь его на работу в хорошую фирму могут взять.

да вряд ли он такой умный... просто парень заметил эту фигню ...странно что до этого некто ее не видел ...

Ivan Ivanov

@casio это же не монета, лежащая на земле, что ее любой дурак увидеть может.

casio

Участник @ivan-ivanov написал в Обнародована информация о критической уязвимости кошельков Ledger Nano S:

@casio это же не монета, лежащая на земле, что ее любой дурак увидеть может.

Ну как бы факт простой тут, можно сказать элементарный ....

Ivan Ivanov

@casio если до этого его никто не видел, то трудно назвать этот факт простым.

casio

Участник @ivan-ivanov написал в Обнародована информация о критической уязвимости кошельков Ledger Nano S:

@casio если до этого его никто не видел, то трудно назвать этот факт простым.

ну можно годами проходить мимо и не замечать очевидности ...

Ivan Ivanov

@casio как раз в этом случае кошельки тестировались на предмет безопасности и мимо никто не проходил.

casio

Участник @ivan-ivanov написал в Обнародована информация о критической уязвимости кошельков Ledger Nano S:

@casio как раз в этом случае кошельки тестировались на предмет безопасности и мимо никто не проходил.

главное что все исправили уже ...

Ivan Ivanov

@casio да, это хорошо. но кто знает, сколько еще невыявленных ошибок есть.

Andrei1990bit

что тут сказать молодец парень - а запостил думаю - для того чтобы ему заказы на проверку начали поступать - в надежде наверное.

casio

Участник @andrei1990bit написал в Обнародована информация о критической уязвимости кошельков Ledger Nano S:

что тут сказать молодец парень - а запостил думаю - для того чтобы ему заказы на проверку начали поступать - в надежде наверное.

Да уже писал выше случайно ему там улыбнулось и он смог там баг найти.

Ivan Ivanov

@andrei1990bit на работу точно возьмут в какую-то фирму, если конечно он сам захочет.

Andrei1990bit

@casio знаешь честно я в случайности не особо верю - если ты родился и стал дураком - им и останешься. а если родился и стал умным - таким тебе и быть.
@ivan-ivanov он студент - подработка ему точно не помешает.

garryncha

@casio Как ему удалось найти этот баг - нам доподлино не известно. Может это было случайно, а может и вполне целенаправлено.

Andrei1990bit

@garryncha да и вот нам бы не факт удалось найти даже случайно - так что это говорит всё равно о тот что парень с головой.

garryncha

@andrei1990bit Ну как минимум - он обладает некоторым багажом специальных знаний и умеет их применить.

Ivan Ivanov

@andrei1990bit хотя он может на фрилансе столько зарабатывать, что и основная работа не нужна окажется.