„Demoniškas“ pažeidžiamumas, turintis įtakos kriptovaliutų piniginėms, pataisytas Metamask, Brave, Phantom

Birželio 15 d. kelios įmonės, teikiančios kriptovaliutų pinigines, taip pat kibernetinio saugumo įmonė, atsakinga už išnaudojimų paiešką, paskelbė apie saugumo problemos, turinčios įtakos naršyklės plėtiniais pagrįstoms piniginėms, egzistavimą ir pataisymą.

Pažeidžiamumą, kodiniu pavadinimu „Demoniškas“, aptiko Halborno saugumo tyrinėtojai, praėjusiais metais kreipęsi į paveiktas įmones. Dabar jie paskelbė savo išvadas ir leido paveiktoms šalims iš anksto išspręsti problemą, siekiant apriboti žalą galutiniams vartotojams.

„Metamask“, „xDEFI“, „Brave“ ir „Phantom Affected“.

Demoniškas išnaudojimas, oficialiai pavadintas CVE-2022-32969, iš pradžių buvo atrado Halborn 2021 m. gegužės mėn. Tai paveikė pinigines, naudodama BIP39 mnemoniką, leisdama atkūrimo frazes pertraukti blogiems veikėjams nuotoliniu būdu arba naudojant pažeistus įrenginius, o tai galiausiai paskatino priešišką piniginės perėmimą.
Tačiau išnaudojimui reikėjo labai konkrečios įvykių sekos.

Pirmiausia ši problema neturėjo įtakos mobiliesiems įrenginiams. Tik piniginės savininkai, naudojantys nešifruotus stalinius įrenginius, buvo pažeidžiami – jiems būtų tekę importuoti slaptą atkūrimo frazę iš pažeisto įrenginio. Galiausiai turėjo būti naudojama parinktis „Rodyti slaptą atkūrimo frazę“.

⚠Halbornas gauna didelę saugumo premiją @MetaMask už Critical Discovery⚠
Atskleidėme kritinį pažeidžiamumą, turintį įtakos @MetaMask, @Drave, @Fantomas, @xdefi_wallet, ir kitos naršyklės pagrindu sukurtos kriptovaliutos piniginės – trumpas ? apie pažeidžiamumą ir kaip apsisaugoti? patys:

- Halbornas (@HalbornSecurity) Birželio 15, 2022

Halbornas nedelsiant ištiesė keturioms įmonėms, kurioms gresia pavojus dėl išnaudojimo, ir buvo pradėtas slaptas darbas, siekiant išspręsti problemą, kol jos neaptiktų juodųjų skrybėlių įsilaužėliai.

„Dėl pažeidžiamumo sunkumo ir paveiktų vartotojų skaičiaus techninė informacija buvo laikoma konfidencialia, kol bus galima sąžiningai susisiekti su paveiktais piniginės teikėjais.

Dabar, kai piniginės teikėjai turėjo galimybę išspręsti problemą ir perkelti savo vartotojus į saugias atkūrimo frazes, Halborn pateikia išsamią informaciją, kad padidintų supratimą apie pažeidžiamumą ir padėtų išvengti panašių ateityje.

Problema išspręsta, budėtojai apdovanoti

Metamasko kūrėjas Danas Finlay paskelbti tinklaraščio įrašas, raginantis vartotojus atnaujinti į naujausią piniginės versiją, kad galėtų pasinaudoti pataisa, kuri panaikina problemą. Finlay taip pat paprašė jų atkreipti dėmesį į saugumą apskritai, kad įrenginiai visada būtų užšifruoti.

Tinklaraščio įraše taip pat buvo paskelbta apie 50 1 USD išmokėjimą „Halborn“ už pažeidžiamumo atradimą, kaip „Metamask“ klaidų atlyginimo programos dalį, kuri moka nuo 50 XNUMX USD iki XNUMX XNUMX USD, priklausomai nuo sunkumo.

Phantom taip pat paskelbė pareiškimą šiuo klausimu, patvirtinantis pažeidžiamumas buvo pataisytas naudotojams iki 2022 m. balandžio mėn. Bendrovė taip pat pasveikino Oussama Amri – Halborno atradimo ekspertą – į „Phantom“ kibernetinio ryšio komandą.

1/ Nuo 2022 m. balandžio mėn. „Phantom“ naudotojai yra apsaugoti nuo „Demoninio“ kritinio pažeidžiamumo kriptovaliutų naršyklės plėtiniuose.

Kitą savaitę bus išleistas dar vienas išsamus pleistras, kurį, tikime, pavyks @Fantomas saugiausias nuo „Demono“ pramonėje. https://t.co/bKE1olpzng

- Phantom (@phantom) Birželio 15, 2022

Visos susijusios šalys ragino suinteresuotus vartotojus įsitikinti, kad jie atnaujino į naujausią piniginės versiją, ir dėl bet kokių papildomų problemų kreiptis į atitinkamas saugos komandas.