Bitcoin Forum

Kraken Security Labs en çok kullanılan hardware cüzdanlardan olan Trezor, the Trezor One ve Trezor Model T ile alakalı bir saldırı yöntemi yayınladı.

Söz konusu açık için cihaza 15 dakikalık fiziksel erişim sağlamak yeterli. Yani birilerinin cüzdanı sizden alması/çalması gerekiyor.

Saldırı STM32 mikroçipinin donanımın güvenlik açığı üzerine yapılıyor ve sonucunda cüzdanın bütün seed'lerini yani özel anahtarları ele geçirilebiliyor. Bu da cüzdanın kırılarak içinin rahatlıkla boşaltılması anlamına geliyor.

Ben de bir trezor kullanıcısı olarak çok rahatsız oldum açıkcası. Cüzdan gitse de şifresi bende nasılsa dememek, hardware cüzdanlarımızı kimsenin bulamayacağı bir yerde saklamak lazım.

Trezor'un konuya verdiği yanıtta biraz gevşek gibi. Açığı bir anlamda kabul ediyor ancak bu saldırıyı gerçekleştirmek için gerçekten çok kapsamlı ve spesifik donanımın gerektiğini söylüyor. Tamam da eğer cüzdan kırılabiliyorsa ben niye ledger değil de trezor kullanayım? Bildiğim kadarıyla ledgerin böyle bir problemi yok.

Bir de saldırının başarılı olabilmesi için cüzdanda "Passphrase" yani parola özelliğinin aktive olmamış olması gerekiyormuş. Bu özellik aktive olursa şifre cihazda kayıtlı kalmadığı için kırılamıyormuş.

İlgili Kaynak: https://blog.kraken.com/post/3662/kraken-identifies-critical-flaw-in-trezor-hardware-wallets
Trezor'un Cevabı: https://blog.trezor.io/our-response-to-the-read-protection-downgrade-attack-28d23f8949c6
Cointelegraph haberi: https://cointelegraph.com/news/trezor-wallets-can-be-hacked-kraken-reveals

Şurada konuşmuştuk;
https://bitcointalk.org/index.php?topic=5161573.msg53762122#msg53762122

Oradaki yorumum halen geçerli. "Trezor'un "passphrase kullananlar bu açıktan etkilenmiyor" açıklaması gerçekten gülünç."

Ben trezoru severek kullanıyorum.Senin dediğin gibi işte yanında gezdirmeyip evde tutmak mantıklısı.Yoksa yanında 1 çanta para ilemi gezsen daha iyi yada içinde coin dolu hard walletlamı desen.2 side riski yüksek.İşte yanında gezdirip kaybeden olursa bulanda bu işten anlayacak anlamasa anlayanı bulacak o sistemi kuracak ve o sistemle senin walletı uçuracak.Bu ihtimal ile walletı soymanın olasılığı bana göre düşük ama istanbulda olacak deprem riski daha yüksek gibi helede 7,5 olursa ölen sayısı üstüne bahse girenler bile vardır bahis sitelerinde...
Asıl bu cüzdanlardaki sorundan ziyade millet haldır haldır private keyleri tarıyor. BTC-BCH-LTC-ETH-XRP-DOGE bunların private keyleri olasıklı tarayanlar var ve hesaplardan paraları uçuranda haliyle vardır.İşte bu olay olursa değil trezor ledger en güvenilir soğuk cüzdan olsun soyma ihtimali daha yüksek gibi.Adamların hedefi zaten private key..

Bu konu halen tartışmaya açıkmı? Bununla ilgili burada hesaplamalar falan paylaşılmıştı. Tarama yöntemiyle BTC veya ETH cüzdanında para bulmak çok zor. Ama tabiki bir şekilde cihaz hacklemek falan daha olası. Ledger'ın olayı biraz daha farklı ve güvenilir. Ama bu konuda en güvenilecek kişilerden birisi @PHI1618 üstad olur. Rehberlerinde falan sıklıkla bahsediyor zaten. Bizim için güzel bir özet geçerse çok güzel olur.

Yanlış hatırlamıyorsam Trezor'un birkaç yıl önce de bir güvenlik açığı ortaya çıkmış ve sonradan yamanmıştı. Böyle şeyleri bir yere kadar (o yer sorunun istisnai olması, çok gözden kaçabilecek, ileri uzmanlık gerektiren bir açık olması, derhal çözüm üretilmesi ve benzerlerinin tekrarlanmaması için önlem alınması yeri) normal karşılıyorum çünkü %100 güvenli diye bir şey yok malesef. Ancak açılan konudan anladığım kadarıyla donanım kaynaklı bir problem bu, iyi olmamış.

Bu konularda çok teknik bir adam değilim ama matematiğim iyidir  :)

Private keyler 1 ile 2^256 arasında bir rakamdan oluşuyor Yani yaklaşık olarak 1'in yanına 77 tane 0 koyunca çıkan rakam kadar.

Ancak spesifik olarak public keyini bildiğiniz bir bitcoin adresini kırmaya çalışırsanız, işiniz kısmen daha kolay ( ;D)

Yani sayı 2^128'e düşüyor. O da 3'ün yanına 38 tane sıfır koyunca çıkan rakam kadar.

Eğer brute force ile saniyede kabaca 1 milyar deneme yapabilen bir donanıma sahipseniz  10^21 yıl içinde bütün varyasyonları deneyebilirsiniz. Çok şanslıysanız ilk denemede de kırabilirsiniz (Bunun yerine milli piyango bileti almanızı tavsiye ederim, kazanma olasılığınız milyarlarca kez daha yüksek ;D) Çok şanslı olmanın bir tık altında iseniz ömrünüz yetmeyecektir.

Ek olarak şöyle bir varsayımda bulunalım;  "Her yıl bir önceki yılın iki katı kadar işlem yapabilen bir donanım geliştiriliyor"

Bu durumda da yaklaşık 70 yıl sonra geliştirilecek donanım public key'i bilinen bir cüzdanı 1 yıl çalışarak kırabilecektir.

Matematikten ziyade bu adamlar bunla uğraşacağına başka şeyle para kazanırlar zaten. En basiti bunu yapabilecek makineler eminim mining'de yapabiliyordur. Daha fazlasını mining ile kazanabileceksem neden etik olmayanı deneyeyim ki?

Ben donanım cüzdan alalı bir aydan az fazla oldu. Maşallah alır almaz sorunlar konuşulmaya başlandı. Ben alana kadar kimse bir şey demiyordu.

 ;D ;D Trezor hangi modelini aldın.Aslında güzel cüzdan ben yaklaşık 8-10 çeşit coin hepsinden aldım kullandım sonra işler iyice boka sarınca çoğunu sattım btc-eth-bch-ltc-doge ye döndüm.boğayı bekliyorum.
bak sende etc hack konusuna yazmışsın.etc aldım cüzdana yolladım 1-2 ay sonrada etc mantara geldi geçen sene sattım.İşte öyle neydüğü belirsiz sistemlere girilerse cüzdan açıp para yollanırsa para gider adamın para sanıım gitmiş.Adamın az buz değil görünürde 250 etc 3.000 usd si gitmiş.en azından elinde trezor-ledger yada başka hardwallet olsa belki zarara uğramazdı ama zor olay Allah kimseye yaşatmasın:
Sonuçta bunlardada risk var yok değil.Onun için transfer haricinde fazla kurcalamaya gelmez. :D