Unciphered บริษัทสตาร์ทอัพด้านความปลอดภัยทางไซเบอร์อ้างว่า บริษัทสามารถแฮ็กกระเป๋าเงิน Crypto Hardware Wallet รุ่น Trezor T ที่ถูกผลิตโดยบริษัท Satoshi Labs ได้
โดยในคลิปวิดีโอบน Youtube, Unciphered ได้สาธิตวิธีการดึงรหัส Seed phrase หรือ Private key ของกระเป๋าเงินนั้นออกมา โดยใช้ประโยชน์จากช่องโหว่ของฮาร์ดแวร์ดังกล่าว
นี่ไม่ใช่ครั้งแรกที่ Unciphered สามารถดึง Seed Phrase ออกมาจากกระเป๋าเงินฮาร์ดแวร์ได้ โดยเมื่อเดือนกุมภาพันธ์ บริษัทได้แสดงวิธีการแฮ็กกระเป๋าเงินที่ผลิตโดย OneKey ของฮ่องกงด้วยวิธีการที่คล้ายคลึงกัน
กระเป๋าเงิน Hardware Walllet ซึ่งทำการเก็บ Private key ไว้แบบ Offline และถูกออกแบบมาเพื่อปกป้องสินทรัพย์ Crypto มักถูกพิจารณาว่า เป็นกระเป๋าเงินที่มีความปลอดภัยสูง Unciphered กล่าว อย่างไรก็ตาม กลไกรักษาความปลอดภัยของ Trezor T อาจไม่สามารถทำงานได้อย่างสมบูรณ์เท่าที่ควรจะเป็น หากแฮ็กเกอร์มี T wallet ไว้ในครอบครอง
ช่องโหว่ที่ Unciphered ใช้ จะได้ผลก็ต่อเมื่อผู้โจมตีกระเป๋าเงินมีกระเป๋าเงิน Trezor แบบจับต้องได้อยู่ในมือ
Michaud ผู้ร่วมก่อตั้ง Unciphered อ้างว่า ด้วยการใช้ชิป GPU แบบพิเศษ ทำให้พวกเขาสามารถถอดรหัส pin Seed phrase ของกระเป๋าเงินนั้นออกมาได้
“พวกเรามี GPU จำนวน 10 ตัว และหลังจากใช้เวลาระยะหนึ่ง พวกเราก็สามารถดึง Key ออกมาได้”
เขายังได้กล่าวเพิ่มเติมด้วยว่า การแก้ไขช่องโหว่ของ Trezor T บริษัทอาจจำเป็นต้องเรียกคืนผลิตภัณฑ์ทั้งหมดกลับคืนมา
การตอบสนองของ Trezor
Trezor มองว่าช่องโหว่ที่ Unciphered นำมาเปิดเผย มีความคล้ายคลึงกับช่องโหว่ Read Protection Downgrade (RDP) ที่ถูกพบโดยนักวิจัยจาก Kraken Security Labs ซึ่งมีผลต่อทั้ง Trezor One และ Trezor Model T ทำให้ช่องโหว่นี้อาจไม่ใช่เรื่องใหม่
“สิ่งนี้ดูเหมือนจะเป็นช่องโหว่ที่เรียกว่าการโจมตี RDP ซึ่งเคยเผยแพร่ลงในโพสต์บล็อกของเราเมื่อต้นปี 2020 การโจมตี RDP จำเป็นต้องมีการโจรกรรมทางกายภาพและมีความรู้ด้านเทคโนโลยีขั้นสูง รวมไปถึงอุปกรณ์ที่ทันสมัย” Tomáš Sušánka หัวหน้าเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Trezor กล่าว “แม้ว่าจะมีเงื่อนไขดังกล่าวครบ Trezor ก็ยังได้รับการปกป้องจากรหัส Passphrase ที่มีความแข็งแกร่ง ซึ่งช่วยเพิ่มการรักษาความปลอดภัยขึ้นอีกชั้นที่ทำให้การโจมตี RDP แทบจะไม่มีประโยชน์ใด ๆ”
Trezor เสริมว่า บริษัทได้ดำเนินขั้นตอนสำคัญเพื่อแก้ไขปัญหานี้ในอนาคต ด้วยการพัฒนาระบบความปลอดภัยใหม่สำหรับกระเป๋าเงินฮาร์ดแวร์กับ Tropic Square ซึ่งเป็นบริษัทลูกของ Trezor
ที่มา: The Block