Дистрибьюторы стали продавать взломанные кошельки Trezor

Сотрудники «Лаборатории Касперского» выяснили, что взломанные кошельки Trezor начали поставлять на полки верифицированных дистрибьюторов

IT-специалисты выяснили, что на полки доверенных магазинов стали поступать фейковые версии аппаратных криптокошельков марки Trezor под видом заводских. Об этом пишут эксперты «Лаборатории Касперского», изучив один из таких экземпляров.

Сообщается, что взломанный кошелек под видом нового продавали через надежного продавца на неком «популярном сайте». О каком именно сайте идет речь, неясно. Голографические наклейки присутствовали не только на коробке, но и на самом кошельке без каких-либо внешних повреждений. При этом при запуске кошелька отображалась версия загрузчика 2.0.4 при прошивке 2.4.3 от SatoshiLabs.

Внешне подделанный кошелек ничем не отличается от настоящего, а пользовательский интерфейс в точности повторяет оригинал. Однако вскоре в «Лаборатории Касперского» выяснили, что в SatoshiLabs никогда не выпускали версию загрузчика 2.0.4. Разработчики отказались выпускать обновление под номером 2.0.4 из-за участившихся случаев «подделки устройств» с такой подписью, отметили исследователи.

Слева оригинал, справа — фальшивка. Источник: kaspersky.com

По словам экспертов, злоумышленники постарались приложить максимум усилий, чтобы жертва не могла разобрать аппаратный кошелек. Две половины корпуса криптовалютного кошелька скреплены большим количеством клея при помощи двухстороннего скотча. Оригинальный кошелек от Trezor запаивается с помощью ультразвукового склеивания. Также выяснилось, что у фейкового кошелька на микросхеме установлен сторонний микроконтроллер со следами от пайки. Вместо оригинального чипа STM32F427 установлен STM32F429 с полностью деактивированными механизмами защиты от чтения флэш-памяти, выяснили эксперты.

Отсутствие защиты на аппаратном уровне позволило злоумышленникам похитить криптовалюту с кошелька жертвы даже несмотря на то, что владелец фейкового кошелька на момент кражи хранил криптокошелек без подключения к интернету. В «Лаборатории Касперского» полагают, что взломанное устройство при первом запуске подменило рандомную мнемоническую фразу на ту, что была известна злоумышленникам. Масштаб схемы остается неясен. Как много криптоинвесторов могли стать жертвой подобной атаки, также неизвестно.

Источник