Trezor conferma spyware in 3 hardware wallet e taglia rivenditori dell'80%

Trezor illustra i cambiamenti relativi al firmware e ai rivenditori

Il 12 novembre, il produttore di portafogli hardware Trezor ha dichiarato che tre dispositivi Safe 5 acquistati da CryptoBilis, un ex rivenditore autorizzato nel Sud-Est asiatico, contenevano implant hardware non autorizzati. Il post pubblicato sul blog relativo all’indagine descriveva in dettaglio un aggiornamento del firmware e controlli di distribuzione più rigorosi. La versione 2.13.1, rilasciata l’11 novembre, impedisce ai dispositivi impiantati identificati di acquisire informazioni aggiornando il software che gestisce il dispositivo, ha affermato l’azienda. Tutti e tre i dispositivi interessati sono stati acquistati tra il 20 agosto e il 23 settembre tramite CryptoBilis, direttamente o tramite i suoi negozi su Tokopedia e Shopee. Trezor ha esaminato nel proprio laboratorio il primo dispositivo Safe 5 segnalato come contenente un componente non autorizzato e ne ha identificati altri due grazie alle fotografie inviate dai proprietari. Quarantotto clienti avevano contattato l’azienda, che stava verificando i loro dispositivi nel proprio laboratorio o tramite fotografie inviate dagli utenti. L’azienda ha dichiarato:

«Abbiamo ridotto la nostra rete di rivenditori di circa l’80%».

I suoi piani di riduzione dei rivenditori sono emersi a ottobre e Trezor ora descrive i partner rimossi come affidabili e privi di minacce immediate. I rivenditori rimanenti devono soddisfare requisiti più rigorosi in materia di approvvigionamento, stoccaggio e accesso ai dispositivi.

Schede nascoste hanno intercettato i segreti dei portafogli

All’interno del Safe 5, l’impianto non autorizzato si trova tra lo schermo e la scheda madre, ovvero la scheda elettronica principale del dispositivo che collega i componenti elettronici. Secondo l’analisi di Trezor, esso copia le informazioni visualizzate senza modificare il firmware o il Secure Element, un chip di sicurezza dedicato. La scheda aggiunta registra le parole di recupero durante la creazione o il ripristino del portafoglio, oltre alle passphrase visualizzate, che sono segreti aggiuntivi opzionali utilizzati per accedere a portafogli separati. L’impianto crittografa ciò che cattura e lo invia tramite una rete mobile a un server gestito dagli aggressori. In assenza di segnale, conserva i dati e continua a riprovare fino a quando il trasferimento non va a buon fine. Trezor ha affermato che l’impianto funziona allo stesso modo di quelli rinvenuti in alcuni dispositivi Ledger. Nel caso di Ledger, gli aggressori hanno acquistato dispositivi originali, li hanno modificati e li hanno rimessi in vendita tramite rivenditori nel Sud-Est asiatico.

Ledger aveva confermato la presenza di un dispositivo hardware non autorizzato nel portafoglio di un cliente colpito dal problema nel mese di ottobre. Le scoperte di Trezor si sono limitate ai dispositivi Safe 5 acquistati da CryptoBilis. I controlli effettuati sui dispositivi di altri rivenditori della regione non hanno rilevato alcuna manomissione e l’azienda non ha segnalato la presenza di dispositivi non autorizzati in altri modelli.

Gli acquirenti di CryptoBilis devono comunque procurarsi nuovi portafogli

Sebbene l’aggiornamento blocchi l’intercettazione da parte dei dispositivi di intercettazione identificati, i backup dei portafogli precedentemente esposti rimangono compromessi. Trezor ha continuato a consigliare agli acquirenti di CryptoBilis di trasferire i fondi su portafogli di nuova creazione, poiché la sostituzione dell’hardware con il riutilizzo della stessa frase di recupero lascia intatta tale vulnerabilità. Ai possessori di dispositivi sospettati di essere stati manomessi è stato chiesto di conservarli ed evitare la configurazione o l’uso in attesa di indicazioni da parte dell’assistenza.

L’idoneità alla sostituzione copre tutti i modelli acquistati da CryptoBilis a partire da marzo. Le restrizioni di spedizione potrebbero richiedere un modello diverso con rimborso della differenza di prezzo, la consegna in un altro Paese o un rimborso. Ai clienti è stato chiesto di organizzare le sostituzioni tramite l’assistenza ufficiale di Trezor, mentre gli acquirenti incerti sono stati incoraggiati a verificare l’origine del proprio dispositivo.

I truffatori potrebbero spacciarsi per membri dello staff che offrono sostituzioni o rimborsi, ha avvertito Trezor, ribadendo che non richiede mai le frasi di recupero. L’azienda ha continuato a collaborare con SEAL 911, il servizio di risposta alle emergenze della Security Alliance per gli incidenti legati alle criptovalute. Ha inoltre promesso una ricompensa al cliente che per primo ha segnalato l’impianto.