Bitcoin Forum
November 15, 2024, 12:50:53 PM *
News: Latest Bitcoin Core release: 28.0 [Torrent]
 
   Home   Help Search Login Register More  
Pages: [1]
  Print  
Author Topic: Kraken identifica falla crítica en carteras de hardware Trezor  (Read 160 times)
VB1001 (OP)
Legendary
*
Offline Offline

Activity: 938
Merit: 2540


<<CypherPunkCat>>


View Profile WWW
January 31, 2020, 05:22:08 PM
Last edit: February 01, 2020, 07:31:25 AM by VB1001
Merited by DdmrDdmr (2)
 #1

Kraken Identifies Critical Flaw in Trezor Hardware Wallets

https://blog.kraken.com/post/3662/kraken-identifies-critical-flaw-in-trezor-hardware-wallets/

Video: https://www.youtube.com/watch?time_continue=2&v=6pKuHYwrGkU&feature=emb_logo

Trezor: Our Response to the Read Protection Downgrade Attack

https://blog.trezor.io/our-response-to-the-read-protection-downgrade-attack-28d23f8949c6

De momento en ingles, actualizare si publican en español, primero aclarar que necesitan el trezor físicamente para hacer el ataque, tienen que intervenir directamente en el chip, provocan fallos en el gestor de arranque con voltajes erroneos (creo que el chip queda "tonto") y a partir de aquí empiezan a flashear, esto resumido en 2 líneas, pero la cuestión es que sí, lo hackean.

Después he ido al blog de Trezor y efectivamente es así, tenéis el enlace de Kraken (lo descubrieron ellos) un vídeo de Kraken y el enlace a Trezor.

edit: enlaces en español


Kraken revela que las billeteras Trezor pueden ser hackeadas

Quote
Kraken Security Labs reveló el 31 de enero que las billeteras físicas de Trezor y sus derivados pueden ser hackeados para extraer claves privadas. Aunque el procedimiento es bastante complicado, Kraken afirma que "requiere solo 15 minutos de acceso físico al dispositivo".

El ataque requiere una intervención física en la billetera Trezor extrayendo su chip y colocándolo en un dispositivo especial o soldando un par de conectores críticos.

https://es.cointelegraph.com/news/trezor-wallets-can-be-hacked-kraken-reveals



Comprueban vulnerabilidad que facilita acceso a claves privadas de carteras frías Trezor

Quote
Hechos clave:

Identificaron la misma falla encontrada en diciembre pasado en las carteras frías de KeepKey.
Un ataque de voltaje permitió a los investigadores extraer la semilla encriptada en 15 minutos.

https://www.criptonoticias.com/seguridad-bitcoin/vulnerabilidades/comprueban-vulnerabilidad-acceso-claves-privadas-carteras-frias-trezor/


1PCm7LqVkhj4xRpKNyyEeekwhc1mzK52cT
andulolika
Legendary
*
Offline Offline

Activity: 2338
Merit: 1047



View Profile
January 31, 2020, 05:25:10 PM
 #2

Gracias, pocos se habrian dado cuenta.

🔥 🔥 🔥  Satochip - Secure the future  🔥 🔥 🔥
⭐️ Hardware wallet on a smartcard | Affordable and easy to use | Open source and community driven | BTC, LTC, BCH (SLP tokens), ETH (ERC-20 tokens)... ⭐️
──WebsiteShop  |  Bitcointalk  |  Twitter  |  Telegram  |  Github──
Jamil2012
Newbie
*
Offline Offline

Activity: 1
Merit: 0


View Profile
January 31, 2020, 06:27:26 PM
 #3

Gracias!
DdmrDdmr
Legendary
*
Offline Offline

Activity: 2506
Merit: 11050


There are lies, damned lies and statistics. MTwain


View Profile WWW
February 01, 2020, 01:57:54 PM
 #4

<…>
En el año 2018, algo similar (hasta cierto punto) se dijo sobre Ledger Nanos S (ver re:Ledger Nano S Hackeada!), y nuevamente a finales del 2018 (ver Posible ataque contra Trezor y Ledger nano? ).

El asunto radica primero en tener la precaución de no tenerlo tirado a la vista, y esconderlo en algún sitio. Más allá de eso, algunas de estas vulnerabilidades detectadas han servido para mejorar el producto mediante actualizaciones en el firmware, pero otras, quizás como la citada en el OP, requieran posiblemente de un rediseño hardware a fin de erradicar la posibilidad de robo mediante el acceso físico que, aunque remota, existe.

Claro que sigue siendo más práctico y menos sofisticado recurrir al viejo clásico: usar una llave inglesa de 5$ contra el dueño del dispositivo …
th3nolo
Hero Member
*****
Offline Offline

Activity: 1232
Merit: 669



View Profile
February 02, 2020, 09:51:31 PM
 #5

<…>
En el año 2018, algo similar (hasta cierto punto) se dijo sobre Ledger Nanos S (ver re:Ledger Nano S Hackeada!), y nuevamente a finales del 2018 (ver Posible ataque contra Trezor y Ledger nano? ).

El asunto radica primero en tener la precaución de no tenerlo tirado a la vista, y esconderlo en algún sitio. Más allá de eso, algunas de estas vulnerabilidades detectadas han servido para mejorar el producto mediante actualizaciones en el firmware, pero otras, quizás como la citada en el OP, requieran posiblemente de un rediseño hardware a fin de erradicar la posibilidad de robo mediante el acceso físico que, aunque remota, existe.

Claro que sigue siendo más práctico y menos sofisticado recurrir al viejo clásico: usar una llave inglesa de 5$ contra el dueño del dispositivo …

Precisamente la semana pasada me regalaron un trezor.. esta semana aparece esta publicación de que es posible robar el dinero que existe en una trezor, de verdad que estoy de muy mala suerte.

Anteriormente pensé en comprar un KeepKey, pero no lo compre porque apareció una publicación de que podía ser vulnerado. Al menos el trezor fue por un concurso y me percate de que no estuviera falsificado.

             ▄██▄
   ▄██▄      ▀█▀▀     ▄██▄
   ▀██▀▄  ▄▄█████▄▄  ▐███▀
       ███████████████
      ████████▀▄▄▄▀████
 ▄▄  ▐███▀▄▀██▄▀▀▀▄█████  ▄▄
████▀█████▄███▀▀█████ ██▀████
 ▀▀  ▐███▄███ ██ ████ █▌  ▀▀
      ▀████▄██▄▄███▀▄█▀
    ▄▄ █▀██████▀▄▄▄█▀█ ▄▄
   ████▀   ▀▀▀█▀▀▀   ▐████
    ▀▀       ▄██▄      ▀▀
             ▀██▀
⟩ ⟩ ⟩             ▄▄▄
  ▄▄▄▄▄▄▄▄▄▄█   █▄
 █           ▀▀▀  █
 ▀▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▀
▄▀▀ ▄▄▄▄▄▄▄▄▄▄▄▄ ▀▀▄
█ ▄▀ ▄▄▄▄▄▄▄    ▀█ █
█ █ █       █    █ ▄
█ █ ▄▀▀▀▀▀▀▄▄    █ █
█ █ ▀▄▄▄▄▀▀▄▄▀▀▄ █ █
█ █ █   █  ██  █ █ █
█ █ ▄▀▀▀▀▄▄▀▀▄▄▀ █ █
█ ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀ █
 ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
⟩ ⟩ ⟩       ▄████▄  ▄████▄
      ████████████████
      ████████████████
       ██████████████
        ▀██████████▀
██        ▀██████▀        ██
██▌   ▄            ▄   ▐██
███  ███▄          ▄███  ███
▀███▄ ▀███▄      ▄███▀ ▄███▀
  ▀████████      ████████▀
     ▀████▀      ▀████▀
     ▄   ▄▄      ▄▄   ▄
     ▀█████      █████▀
okae
Legendary
*
Offline Offline

Activity: 1401
Merit: 1008


northern exposure


View Profile WWW
February 02, 2020, 10:50:38 PM
Last edit: February 02, 2020, 11:27:09 PM by okae
 #6

Precisamente la semana pasada me regalaron un trezor.. esta semana aparece esta publicación de que es posible robar el dinero que existe en una trezor, de verdad que estoy de muy mala suerte.

Anteriormente pensé en comprar un KeepKey, pero no lo compre porque apareció una publicación de que podía ser vulnerado. Al menos el trezor fue por un concurso y me percate de que no estuviera falsificado.

Tranquilo que Trezor esta entre los 2 primeros en mi humilde opinión en el top de HW, y no es tan fácil, según tengo entendido primero te lo tienen que robar si o si, después tienen que saber hacerlo que tampoco es nada fácil..., y por ultimo tienen que averiguar la nº25 (si es que la estas usando, cosa que recomiendo) porque esta ultima no se guarda en el Trezor, así que no es tan fácil poderlo hackear, es mas yo diría que si usas la nº25 y siendo esta medianamente complicada, te da tiempo mas que de sobra de mover tus BTC antes de que ocurra nada indeseado, tal como digo, eso teniendo en cuenta que puedan averiguar la nº25...

IMHO #1.b of suspects, Hal Finney is/was S.N.
DdmrDdmr
Legendary
*
Offline Offline

Activity: 2506
Merit: 11050


There are lies, damned lies and statistics. MTwain


View Profile WWW
February 03, 2020, 07:14:16 AM
 #7

<…>
Tampoco le daría muchas vueltas en estos momentos. Para poder hackearlo en todo caso hace falta acceso físico, y los mecanismos aún son de práctica muy delimitada y experimental. Nada masivo.

Es como si tienes una caja fuerte en casa. Cuanto menos a la vista y menos gente sepa que la tienes mejor. Es mucho más efectivo ocultarla que tener la mejor marca de caja fuerte y dejarla a la vista. Lo mismo con el hardware wallet.
LUCKMCFLY
Legendary
*
Offline Offline

Activity: 2604
Merit: 1882


Leading Crypto Sports Betting & Casino Platform


View Profile WWW
February 03, 2020, 02:58:35 PM
 #8

Hasta donde sé, esta wallet Trezor es la más segura que existe y además la más costosa, entonces en caso  que pueda tener la vulnerabilidad sólo es de manera física que pueda ser manipulada? Tal como lo dice DdmrDdmr, no creo que los que posean las wallets se pongan a ventilarla por ahí...

Según la información del STM32 BootROM del blog:



https://blog.kraken.com/post/3662/kraken-identifies-critical-flaw-in-trezor-hardware-wallets/

Es notable que para ese arranque no hay una encriptación o protección, sólo obedece al lenguaje de máquina, el común que todo lo mueve a nivel de computadores, lo cual , es posible ser vulnerado, hay muchos algoritmos para romper estos códigos, a nivel de lenguaje ensamblador pueden hacerse las cosas de manera más rápida pues ahora está la facilidad de programar cualquier ataque vía lenguaje C, para luego pasarlo a lenguaje de máquina y que lo interprete como de él, le doy importancia porque es el arranque y a partir de allí puede acceder fácilmente con el algoritmo adecuado.

La verdad la Wallet Trezor debe tener su misma dirección Física, tal como lo tienen las PC, no estoy seguro, pero a partir de allí puede ser cambiada como se hace en las PC, que muchos dicen que no es posible, pero sí lo es, si es cambiada puede generarle más protección aún, ( Claro estoy especulando, no conozco muy bien la estructura de la Trezor)

..Stake.com..   ▄████████████████████████████████████▄
   ██ ▄▄▄▄▄▄▄▄▄▄            ▄▄▄▄▄▄▄▄▄▄ ██  ▄████▄
   ██ ▀▀▀▀▀▀▀▀▀▀ ██████████ ▀▀▀▀▀▀▀▀▀▀ ██  ██████
   ██ ██████████ ██      ██ ██████████ ██   ▀██▀
   ██ ██      ██ ██████  ██ ██      ██ ██    ██
   ██ ██████  ██ █████  ███ ██████  ██ ████▄ ██
   ██ █████  ███ ████  ████ █████  ███ ████████
   ██ ████  ████ ██████████ ████  ████ ████▀
   ██ ██████████ ▄▄▄▄▄▄▄▄▄▄ ██████████ ██
   ██            ▀▀▀▀▀▀▀▀▀▀            ██ 
   ▀█████████▀ ▄████████████▄ ▀█████████▀
  ▄▄▄▄▄▄▄▄▄▄▄▄███  ██  ██  ███▄▄▄▄▄▄▄▄▄▄▄▄
 ██████████████████████████████████████████
▄▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▄
█  ▄▀▄             █▀▀█▀▄▄
█  █▀█             █  ▐  ▐▌
█       ▄██▄       █  ▌  █
█     ▄██████▄     █  ▌ ▐▌
█    ██████████    █ ▐  █
█   ▐██████████▌   █ ▐ ▐▌
█    ▀▀██████▀▀    █ ▌ █
█     ▄▄▄██▄▄▄     █ ▌▐▌
█                  █▐ █
█                  █▐▐▌
█                  █▐█
▀▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▀█
▄▄█████████▄▄
▄██▀▀▀▀█████▀▀▀▀██▄
▄█▀       ▐█▌       ▀█▄
██         ▐█▌         ██
████▄     ▄█████▄     ▄████
████████▄███████████▄████████
███▀    █████████████    ▀███
██       ███████████       ██
▀█▄       █████████       ▄█▀
▀█▄    ▄██▀▀▀▀▀▀▀██▄  ▄▄▄█▀
▀███████         ███████▀
▀█████▄       ▄█████▀
▀▀▀███▄▄▄███▀▀▀
..PLAY NOW..
Pages: [1]
  Print  
 
Jump to:  

Powered by MySQL Powered by PHP Powered by SMF 1.1.19 | SMF © 2006-2009, Simple Machines Valid XHTML 1.0! Valid CSS!