Usuários de cripto podem confiar na cadeia de suprimentos por trás das carteiras de hardware?

Não se pode esperar realisticamente que proprietários comuns de criptomoedas detectem adulterações sofisticadas em carteiras de hardware, disse o pesquisador de segurança Joe Grand à Cointelegraph na terça-feira.

Grand é especializado em segurança de hardware e ajudou a recuperar criptomoedas de carteiras bloqueadas. Seu trabalho inclui o desenvolvimento de técnicas para contornar proteções de segurança e extrair dados de chips de memória usados em carteiras fabricadas pela Trezor e pela KeepKey.

“É realmente difícil explicar às pessoas como elas deveriam examinar seus dispositivos, porque até mesmo pessoas técnicas como eu não examinam cada dispositivo para verificar se ele foi adulterado”, disse Grand.

As preocupações vieram à tona na sexta-feira, depois que foram relatadas perdas de cripto envolvendo dispositivos Ledger vendidos pela CryptoBilis, uma revendedora listada como autorizada na Indonésia, na Malásia e nas Filipinas. A Ledger confirmou no sábado que um dispositivo afetado continha um implante não autorizado.

Implantes maliciosos em carteiras Ledger vendidas pela CryptoBilis capturaram as frases de recuperação dos usuários e as transmitiram por redes celulares, disse a fabricante francesa de carteiras de hardware.

Mais controle não significa menos confiança

As carteiras de hardware são projetadas para manter as chaves privadas offline, reduzindo a exposição a ataques online que podem ter como alvo carteiras de software.

Algumas carteiras de hardware alcançaram popularidade global, e suas redes de distribuição criaram oportunidades para adulterações na cadeia de suprimentos.

O analista de cripto Mati Greenspan disse à Cointelegraph que nunca usou uma carteira de hardware, apesar de estar envolvido no setor desde 2013, por considerar que há pouco valor em acrescentar outra cadeia de confiança.

Relacionado: MediaMarktSaturn retira produtos Ledger em meio a relatos de adulteração

“Quando você compra uma carteira de hardware, está introduzindo toda uma nova cadeia de confiança, do fabricante ao fornecedor e a qualquer pessoa que tenha manuseado o dispositivo antes de ele chegar até você”, disse Greenspan.

Nick Neuman, CEO da empresa de segurança de Bitcoin Casa, disse que evitar completamente a confiança em terceiros é impossível. “Sempre há um intermediário em quem você precisará confiar”, disse ele, acrescentando que os usuários devem distribuir seus riscos entre vários fornecedores, em vez de depender de apenas um.

Verificações de segurança não conseguem detectar tudo

A Trezor, uma das principais rivais da Ledger, disse que seus dispositivos passam por verificações de autenticidade e aceitam apenas firmware assinado, mas reconheceu que essas proteções não podem descartar a adulteração física.

“Você também pode verificar se a embalagem e o selo holográfico estão intactos e procurar marcas incomuns no dispositivo, mas essas verificações, por si só, não podem garantir que ele não tenha sido modificado”, disse um porta-voz da Trezor à Cointelegraph.

Relacionado: Ledger pede que revendedores suspendam vendas no Sudeste Asiático e em Hong Kong

A empresa disse que os implantes encontrados nos dispositivos Ledger representam um desafio diferente porque capturam informações da tela sem modificar o firmware. A Trezor disse que não observou esse tipo de ataque em seus próprios dispositivos.

Na terça-feira, a Trezor anunciou que reduziria o número de revendedores como medida “preventiva”.

Projetos de carteiras de hardware podem reduzir riscos de adulteração

Grand sugeriu várias mudanças no design físico, desde carcaças transparentes que exponham os componentes internos até invólucros resistentes a adulterações que obrigariam os invasores a recriar a estrutura para ocultar modificações.

“Será muito mais difícil para um adversário injetar hardware adicional no dispositivo, porque ele teria de recriar toda a estrutura”, disse ele.

O pesquisador de segurança também apontou recomendações de design antiviolação do engenheiro eletrônico Dave Jones, embora tenha alertado que não se deve depender apenas dessas medidas. Elas poderiam dificultar ataques à cadeia de suprimentos, mas não eliminariam o risco.

Revista: Ataque à Ledger se espalha para a UE, IA encontra falha de “18 trilhões de XRP”: Hodler’s Digest