EE.UU. investiga la aplicación Trust Wallet para iOS

Una división del Departamento de Comercio de Estados Unidos está examinando la aplicación Binance Trust Wallet por una posible vulnerabilidad que podría permitir a los atacantes robar fondos de criptomonedas.

Según el Instituto Nacional de Estándares y Tecnología (NIST), que promueve la innovación estadounidense, una versión específica de la app Binance Trust Wallet "hace un mal uso de la biblioteca trezor-crypto" para crear frases mnemotécnicas que solo pueden autenticarse en la fuente de entropía.

Una fuente de entropía es una ubicación física donde se generan datos. El NIST destacó una vulnerabilidad similar explotada en julio de 2023, que provocó pérdidas económicas. En él se explicaba:

"Un atacante puede crear sistemáticamente mnemónicos para cada marca de tiempo dentro de un marco temporal relevante y asociarlos con direcciones de monedero específicas para robar fondos."

Esta revelación se hizo pública el 8 de febrero y ahora está bajo escrutinio para evaluar el alcance real de la vulnerabilidad.

Según CVE, una organización del Departamento de Seguridad Nacional de EE.UU, Secbit Labs inició una investigación sobre la aplicación Binance Trust Wallet para iOS después de que varios monederos de Ether se vieran comprometidos.

Rastrearon una falla de generación de billeteras más antigua en la versión iOS de Trust Wallet de 2018 y la vincularon a los principales robos del 12 de julio de 2023.

Binance no respondió a la solicitud de comentarios de Cointelegraph. No obstante, una investigación independiente de Milk Sad descubrió al menos 6.572 mnemónicos de billetera únicos en riesgo de pérdida de fondos.

Descubrió que la aplicación Trust Wallet para iOS utilizaba código de fuente abierta para generar nuevas billeteras de criptomonedas utilizando funciones inseguras en la "biblioteca trezor-crypto", no destinada a la producción.

Al confirmar la existencia de monederos vulnerables, alegó su implicación en los robos de Milk Sad.

Tras la investigación, el NIST asignará una puntuación base a la vulnerabilidad de la aplicación, de 0 a 10, en función de su gravedad.

Fuentes:

https://cointelegraph.com/news/us-binance-trust-wallet-ios-vulnerability

https://nvd.nist.gov/vuln/detail/CVE-2024-23660

https://www.cve.org/CVERecord?id=CVE-2024-23660

https://secbit.io/blog/en/2024/01/19/trust-wallets-fomo3d-summer-vuln/