Представьте, что вы подключаете телефон к ноутбуку… и теряете свой криптокошелек еще до того, как устройство загрузится.

Это, по сути, то, что обнаружили эксперты по безопасности - большая уязвимость в некоторых устройствах Android, использующих чипы MediaTek.

Это обнадеживает - проблема уже исправлена.

Плохая новость заключается в том, что пользователи с устаревшим программным обеспечением все еще находятся в опасности.

Скрытая уязвимость в процессе загрузки

Проблему обнаружила группа экспертов по безопасности Donjon, работающая с Ledger, компанией, производящей оборудование для криптовалют.

Их расследование выявило уязвимость в защищенной цепочке загрузки MediaTek - системе, отвечающей за безопасный запуск телефона и выполнение только авторизованного программного обеспечения.

Обычно этот процесс загрузки действует как охранник у двери. Если что-то подозрительное пытается загрузиться во время старта, система блокирует это.

Но исследователи нашли способ обойти эту защиту.

Если кто-то получит доступ к вашему телефону и имеет необходимое оборудование, он может подключить его к компьютеру и найти способы обойти некоторые важные меры безопасности, которые установлены.

С этого момента ситуация быстро ухудшается.

Взлом кошелька за 45 секунд

Чтобы показать, как работает уязвимость, исследователи протестировали ее на Nothing CMF Phone 1.

Результат оказался тревожным.

Всего за минуту атака смогла:

Восстановить PIN-код телефона

Расшифровать внутреннее хранилище

Извлечь фразы-сиды из нескольких популярных криптокошельков

По данным Ledger, уязвимость работала против кошельков, включая:

Trust Wallet

Base Wallet

Kraken Wallet

Rabby

Phantom

Tangem Mobile Wallet

Что еще более тревожно, так это то, что для атаки не требовалось, чтобы телефон был полностью включен.

Исследователи смогли взломать устройство еще до того, как система Android успела запуститься.

Сколько телефонов может быть под угрозой?

Большая часть системы Android работает на процессорах MediaTek.

Около четверти устройств Android, или примерно 25%, используют комбинацию чипов MediaTek и среды доверенной выполнения Trustonic, которая является конкретной настройкой, на которую нацелена эта уязвимость.

Это не обязательно означает, что все эти телефоны были уязвимы, но это дает представление о том, насколько велика потенциальная проблема.

После обнаружения проблемы Ledger сообщил об этом MediaTek, и они исправили ее 5 января.

Тем не менее, патчи работают только в том случае, если пользователи их устанавливают.

Устройства с устаревшими обновлениями безопасности могут оставаться уязвимыми.

Большее предупреждение о телефонных кошельках

Это открытие также вызвало горячие обсуждения в криптовалютном сообществе: насколько безопасны мобильные кошельки?

Главный технический директор Ledger, Шарль Гийемет, был прямолинеен и краток.

Он считает, что смартфоны не были созданы с идеей иметь сильные меры безопасности для защиты своих ключей.

Обычные компьютерные чипы разрабатываются для быстроты и простоты использования, но они не созданы с сильными мерами безопасности для защиты очень чувствительной и секретной информации, такой как та, что используется в криптографии.

В отличие от других типов кошельков, аппаратные кошельки используют то, что называется защищенными элементами. Это специальные чипы, которые предназначены для того, чтобы хранить приватные ключи отдельно от остальной системы, что помогает сохранить их в безопасности.

Когда кто-то с плохими намерениями получает доступ к устройству, оставаться наедине с ним может иметь большое значение.

Гийемет сделал довольно шокирующее заявление: наши смартфоны могут на самом деле подвергать чувствительную информацию, такую как сиды наших цифровых кошельков и наши PIN-коды, риску быть раскрытыми, и это может произойти даже тогда, когда мы думаем, что наши телефоны полностью выключены.

Что пользователи должны делать прямо сейчас

Для большинства пользователей решение простое.

Обновите свой телефон.

Получение последнего обновления безопасности Android помогает защитить ваше устройство от угроз.

Для начала эксперты по безопасности советуют предпринять несколько простых шагов для защиты себя.

Держите программное обеспечение телефона обновленным

Избегайте хранения крупных криптоактивов в мобильных кошельках

Используйте аппаратные кошельки для долгосрочного хранения

Включите надежные пароли и шифрование устройства

Мобильные кошельки остаются удобными для повседневных транзакций. Но когда дело доходит до защиты значительных криптоактивов, многие эксперты все еще советуют хранить приватные ключи на специализированных аппаратных устройствах.

Напоминание, которое криптоиндустрия продолжает повторять

Тот факт, что ошибка MediaTek уже могла быть исправлена, не меняет общей картины - это показывает нам, что все еще существуют некоторые серьезные проблемы, которые необходимо решить.

Безопасность криптовалюты зависит не только от кошельков или бирж. Она зависит от каждого уровня технологии под ними - от операционных систем до процессоров и загрузчиков.

И иногда всего одна уязвимость в системе может оставить ее открытой для проблем.

В этой ситуации дверь была открыта всего на короткое время, менее минуты. Тем не менее, как показали исследователи, этого краткого периода было достаточно.

Исправление ошибки кражи криптосидов MediaTek за 45 секунд

Похожие статьи

Майк Веб3

Криптовалюта — теперь это просто