В аппаратном кошельке Ledger обнаружена уязвимость

Компания Ledger является популярнейшим производителем аппаратных кошельков. Об этом свидетельствует тот факт, что в прошлом году было продано более миллиона данных устройств.

Аппаратные кошельки принято считать самыми безопасными для «холодного» хранения своих криптовалют, потому как данные USB-устройства исключают хакерские атаки связанные с подключением в сеть.

Однако для того, чтобы получить или отправить свои средства пользователю все равно необходимо подключать устройство к компьютеру. Именно в этом моменте и выявлена уязвимость кошельков Ledger.

3 февраля компания в своем аккаунте Twitter выпустила предупреждение своих пользователей об обнаруженной уязвимости:

To mitigate the man in the middle attack vector reported here https://t.co/GFFVUOmlkk (affecting all hardware wallet vendors), always verify your receive address on the device's screen by clicking on the "monitor button" pic.twitter.com/EMjZJu2NDh

— Ledger (@LedgerHQ) February 3, 2018

На сегодня каких-либо сообщений об атаках не поступало, но компания считает своим долгом предупредить об этом. Ledger дает практический совет своим пользователям какие шаги необходимо предпринять, чтобы избежать потери своих средств.

И так, для того чтобы избежать так называемой MiTM-атаки необходимо каждый раз в ручном режиме проверять правильность адреса, обязательно нажимая кнопку с изображенным монитором на экране своего компьютера либо иного устройства.

Для информации отметим, что механизм атаки выглядит так. Кошельки Ledger генерируют адрес получателя и показывают его на компьютере при помощи кода JavaScript… Вредоносное программное обеспечение может просто заменить код, создающий адрес получателя, в результате чего все депозиты будут отправлены на кошелёк злоумышленника.

Стоит отметить, что в ходе атаки, пользователь даже не поймет, что его средства ушли не туда. Вредоносное ПО способно очень просто изменить адрес получателя, используя файлы кошелька Ledger, которые находятся в папке AppData.

Уязвимость существует, но как говорится «предупрежден, значит вооружен». Предлагаемые шаги позволят избежать хищения средств, однако это не совершенное решение, так как зависит исключительно от действий пользователей.

Подписывайтесь на наш канал в: Telegram, Vk, Twitter.

Источник: cryptocurrency.