Mais dois fabricantes de carteiras de hardware criptográfico foram hackeados

7 dias atrás
0 9 lido 6 minutos
Mais dois fabricantes de carteiras de hardware criptográfico foram hackeados

Mais dois fabricantes de carteiras de hardware criptográfico divulgaram incidentes de segurança nos últimos dias, aumentando a situação extremamente difícil para as empresas que vendem dispositivos destinados a manter o bitcoin e outros ativos criptográficos dos usuários off-line e fora do alcance de invasores remotos.

No domingo, a marca de carteira de hardware Foundation disse que e-mails de phishing que pareciam vir de seus próprios domínios alegavam que um fornecedor havia modificado módulos de exibição em alguns dispositivos e que os fundos estavam sendo ativamente roubados. A Keystone, outro fornecedor de carteiras, também revelou que um invasor que acessou seu site obteve uma chave usada para verificar se um dispositivo é genuíno, levando a empresa a destruir quase 19 mil unidades não vendidas.

As últimas divulgações chegam após um ataque à cadeia de suprimentos em dispositivos Ledger e uma falha de firmware nas carteiras Coldcard que, juntas, foram vinculadas a mais de US$ 200 milhões em perdas estimadas para os usuários. Os casos anteriores envolveram roubo direto de fundos, mas os incidentes da Foundation e Keystone centram-se nos dados dos clientes e nos sistemas operacionais, e não nas chaves privadas armazenadas nos próprios dispositivos.

Os e-mails de phishing da Fundação vieram de domínios reais

A Fundação postou um anúncio no X no meio da noite, explicando que foram enviados e-mails de spam que pareciam vir de domínios oficiais da empresa. A empresa disse que rastreou o problema até uma ou mais chaves de API Cloudflare comprometidas, que já revogou, e também retirou o domínio malicioso mencionado nas mensagens.

Os e-mails de phishing aparentemente variaram em termos do nível de detalhes pessoais incluídos, mas todos alertaram sobre um falso recall urgente de dispositivo. Uma versão, que recebi domingo à noite de (e-mail protegido)leia em parte: “Kyle, seus fundos estão em risco. Leia com atenção. Um módulo de exibição de um de nossos fornecedores foi modificado antes de chegar até nós. Os fundos estão sendo retirados dos dispositivos afetados agora, e seu dispositivo é um deles.”

O cofundador e CEO da fundação, Zach Herbert, postou posteriormente que parte da infraestrutura de back-end da empresa foi comprometida por meio de uma vulnerabilidade em um aplicativo auto-hospedado. Os invasores provavelmente conseguiram acessar a caixa de entrada do suporte ao cliente e enviar e-mails que pareciam legítimos. A empresa disse que desativou a capacidade dos invasores de enviar e-mails e os removeu de seus sistemas 10 minutos após os primeiros relatos de usuários. Para o subconjunto de mensagens que incluíam endereços ou números de telefone, Herbert disse que os dados provavelmente vieram da caixa de entrada de suporte, referência cruzada com outros vazamentos recentes de criptografia ou pedidos recentes no novo site Shopify da Fundação.

A política de privacidade da Fundação declara que ela armazena nome, endereço, número de telefone e e-mail por 60 dias após o envio do pedido e, em seguida, elimina essas informações de seus sistemas online. No entanto, os usuários relataram ter recebido mensagens personalizadas vinculadas a compras mais antigas, e alguns que solicitaram anteriormente a exclusão de seus dados disseram que ainda recebiam e-mails que incluíam seus dados. Em uma atualização de investigação posterior, a Foundation explicou que sua loja WooCommerce anterior havia sido configurada para redação automática após 60 dias, mas as migrações de banco de dados deixaram cópias mais antigas de pedidos em tabelas legadas que o painel de administração não exibia como ainda contendo informações pessoais.

Ironicamente, três dias antes dos e-mails de phishing serem divulgados, a Foundation publicou que uma conta de e-mail poderia ser o maior ponto de falha na segurança digital de uma pessoa.

Keystone destruirá quase 19.000 dispositivos após vazamento de chave de autenticação

No sábado, a Keystone divulgou pela primeira vez que detectou acesso não autorizado ao seu site oficial em 20 de outubro e confirmou três dias depois, após analisar a atividade da API com o Shopify, que um terceiro havia obtido informações de envio do cliente. A empresa disse que os dados expostos incluíam nomes, detalhes de contato, endereços de entrega e detalhes de pedidos, como itens comprados e preços.

Uma atualização mais detalhada publicada na segunda-feira disse que o invasor explorou uma vulnerabilidade em uma ferramenta de monitoramento de dados de terceiros usada no site, que permitiu o escalonamento de privilégios. Além das informações do cliente, o invasor obteve a chave WebAuth que a Keystone usa para verificar se um dispositivo é genuíno por meio de sua página de autenticação. A chave é gravada nos dispositivos durante a fabricação e não pode ser apagada ou reescrita.

Keystone disse que o incidente envolveu 25.964 registros de compradores que ainda continham informações pessoais, cobrindo compras de 2024 a 2026. Do total de 51.083 registros de compradores do Shopify, as informações pessoais associadas a mais de 25.000 já haviam sido apagadas ou anonimizadas de acordo com a política de retenção de dados da empresa antes do acesso não autorizado. Também foram identificados 12.873 registros adicionais de checkout não pagos que continham nomes, detalhes de contato e informações de envio. Assim como a Foundation, a Keystone reconheceu que sua política de exclusão de 180 dias não foi totalmente aplicada porque uma ferramenta automatizada para exclusão em massa não funcionou de maneira confiável e algumas tarefas falharam sem que a empresa detectasse as falhas a tempo.

Em resposta, a Keystone disse que destruirá os 18.835 dispositivos do estoque existente que contêm a chave de autenticação antiga e não os venderá ou enviará. Os dispositivos entregues antes de 20 de outubro ainda poderão ser verificados como originais através do processo normal. Para dispositivos recebidos após essa data que usam a chave antiga, a Keystone disse que não pode descartar completamente a possibilidade de um dispositivo ser falsificado, mesmo que passe na verificação de autenticação online, e orientou esses clientes a entrar em contato com o suporte para verificação adicional.

Um padrão de falhas graves de empresas de carteiras de hardware

As violações de dados em empresas de carteiras de hardware são importantes por motivos que vão muito além das preocupações com phishing. Um endereço de entrega vinculado a uma compra conhecida de um dispositivo potencialmente usado para armazenar quantidades significativas de bitcoin pode transformar um invasor remoto em alguém que sabe onde o alvo está fisicamente localizado. Pesquisadores de segurança apontaram repetidamente que o vazamento de informações de remessa é uma violação de segurança extremamente grave, já que podem ocorrer agressões físicas ou sequestros de detentores de criptografia, que têm aumentado nos últimos anos, e não apenas golpes de e-mail mais sofisticados.

Do ponto de vista da segurança, 2026 foi sem dúvida o pior ano já registrado para os fabricantes de carteiras de hardware. Em janeiro, a Ledger divulgou que uma violação de um processador de pagamentos terceirizado expôs nomes de clientes e informações de contato de alguns compradores. A Trezor também lidou com várias exposições recentes de dados por meio de provedores de remessa e e-mail, incluindo um incidente ShipMonk que afetou cerca de 80.000 clientes e um hack Brevo que permitiu que e-mails de phishing chegassem aos assinantes do boletim informativo. Outro fabricante de carteiras de hardware, BitBox, também foi afetado pelo incidente Brevo.

É claro que os ataques mais graves envolvendo carteiras de hardware este ano levaram à perda direta de fundos dos clientes. A falha do firmware Coldcard reduziu a aleatoriedade usada para gerar frases iniciais em alguns dispositivos, e o ataque à cadeia de suprimentos do Ledger envolveu componentes ocultos que foram instalados nos dispositivos antes de chegarem aos clientes e usados ​​para capturar chaves durante o processo de configuração.

As dúvidas sobre se as carteiras de hardware são a melhor opção para armazenamento seguro de criptografia se intensificaram após a série aparentemente interminável de incidentes de segurança deste ano. Embora seja verdade que os dispositivos isolam as chaves privadas dos computadores conectados à Internet e podem ajudar a proteger os usuários contra muitos ataques remotos, os requisitos operacionais em torno dos dados do cliente, das cadeias de fornecimento e da verificação de dispositivos criam outras superfícies de ataque.

Além disso, as empresas de carteiras de hardware costumam usar os incidentes de segurança dos concorrentes como oportunidades para destacar seus próprios projetos ou práticas. Mas a recente série de graves incidentes de segurança levou o pesquisador de segurança criptográfica Taylor Monahan a postar no X que esse tipo de declaração precisa parar. “De agora em diante, nenhum viado de carteira de hardware poderá cagar em outro viado de carteira de hardware por qualquer motivo”, escreveu ela. “Vocês são péssimos kkkkkkkkk.”

Source link

7 dias atrás
0 9 lido 6 minutos

Deixe um comentário

O seu endereço de email não será publicado. Campos obrigatórios marcados com *

Botão Voltar ao Topo