ב-15 ביוני, מספר חברות המספקות ארנקי קריפטו - כמו גם חברת cybersec האחראית על מציאת ניצולים - הודיעו על קיומה והתיקון שלאחר מכן של בעיית אבטחה המשפיעה על ארנקים מבוססי תוספים של דפדפן.
הפגיעות, שזכתה לשם הקוד "Demonic", התגלתה על ידי חוקרי אבטחה ב-Halborn, שפנו לחברות שנפגעו בשנה שעברה. כעת הם פרסמו את הממצאים שלהם, לאחר שאפשרו לצדדים המושפעים לתקן את הבעיה מראש במטרה להגביל את הנזק למשתמשי הקצה.
Metamask, xDEFI, Brave ו-Phantom Affected
הניצול הדמוני - בשם הרשמי CVE-2022-32969 - היה במקור גילה מאת Halborn עוד במאי 2021. זה השפיע על ארנקים באמצעות Mnemonic BIP39, מה שאיפשר ליירט ביטויי שחזור על ידי שחקנים רעים מרחוק או באמצעות מכשירים שנפגעו, מה שהוביל בסופו של דבר להשתלטות עוינת על הארנק.
עם זאת, הניצול הצריך רצף מאוד ספציפי של אירועים כדי להתרחש.
כדי להתחיל, בעיה זו לא השפיעה על מכשירים ניידים. רק בעלי ארנקים המשתמשים במכשירי שולחן עבודה לא מוצפנים היו פגיעים - והם היו צריכים לייבא את ביטוי השחזור הסודי ממכשיר שנפגע. לבסוף, היה צריך להשתמש באפשרות "הצג ביטוי שחזור סודי".
⚠הלבורן מקבל פרס אבטחה גדול מ @MetaMask לגילוי קריטי⚠
חשפנו פגיעות קריטית המשפיעה @MetaMask, @אַמִיץ, @דִמיוֹנִי, @xdefi_wallet, וארנקי קריפטו מבוססי דפדפן אחרים - קצר ? על הפגיעות וכיצד להגן? עַצמְכֶם:- הלבורן (@HalbornSecurity) יוני 15, 2022
הלבורן מיד הושיט את ידו לארבע החברות שנמצאו בסכנה מהניצול, והעבודה החלה בסתר לתיקון הבעיה לפני שהיא תתגלה על ידי האקרים שחורים.
"בשל חומרת הפגיעות ומספר המשתמשים שהושפעו, הפרטים הטכניים נשמרו בסודיות עד שניתן היה לעשות מאמץ בתום לב ליצור קשר עם ספקי הארנקים המושפעים.
כעת, לאחר שלספקי הארנק הייתה הזדמנות לתקן את הבעיה ולהעביר את המשתמשים שלהם לביטויי שחזור מאובטחים, Halborn מספקת פרטים מעמיקים כדי להעלות את המודעות לפגיעות ולעזור למנוע ביטויים דומים בעתיד".
הבעיה נפתרה, משמרנים מתוגמלים
מפתח Metamask, דן פינליי לאור פוסט בבלוג שקורא למשתמשים לעדכן לגרסה העדכנית ביותר של הארנק כדי ליהנות מהתיקון, שמבטל את הבעיה. פינליי גם ביקש מהם לשים לב לאבטחה באופן כללי, ולשמור על מכשירים מוצפנים בכל עת.
הפוסט בבלוג גם הכריז על תשלום של 50 $ להלבורן עבור גילוי הפגיעות כחלק מתוכנית הבאונטי של Metamask, אשר משלמת סכומים בין 1 ל-50 דולר, תלוי בחומרה.
פאנטום גם פרסמה הצהרה בנושא, המאשר הפגיעות תוקנה עבור המשתמשים שלה עד אפריל 2022. החברה גם קיבלה בברכה את Oussama Amri - המומחה מאחורי הגילוי של Halborn - לצוות הסייברסק של Phantom.
1/ החל מאפריל 2022, משתמשי Phantom מוגנים מפני הפגיעות הקריטית "דמונית" בהרחבות דפדפן קריפטו.
תיקון ממצה נוסף יוצא בשבוע הבא שאנו מאמינים שייצא @דִמיוֹנִי הכי בטוח מ"דמוני" בתעשייה. https://t.co/bKE1olpzng
- פאנטום (@phantom) יוני 15, 2022
כל הצדדים המעורבים קראו למשתמשים המודאגים להבטיח שהם שדרגו לגרסה העדכנית ביותר של הארנק ולפנות לצוותי האבטחה המתאימים בכל בעיה נוספת.
Binance חינם $100 (בלעדי): השתמש בקישור זה להירשם ולקבל 100$ בחינם ו-10% הנחה על עמלות על Binance Futures בחודש הראשון (מונחים).
מבצע מיוחד של PrimeXBT: השתמש בקישור זה כדי להירשם ולהזין את קוד POTATO50 כדי לקבל עד $7,000 על ההפקדות שלך.
מקור: https://cryptopotato.com/demonic-vulnerability-affecting-crypto-wallets-patched-by-metamask-brave-phantom/