USA bada aplikację Trust Wallet na iOS

Oddział Departamentu Handlu Stanów Zjednoczonych bada aplikację Binance Trust Wallet pod kątem potencjalnej luki, która może umożliwić atakującym kradzież środków kryptowalutowych.

Według National Institute of Standards and Technology (NIST), który promuje amerykańskie innowacje, konkretna wersja aplikacji Binance Trust Wallet "niewłaściwie wykorzystuje bibliotekę trezor-crypto" do tworzenia fraz mnemonicznych, które można uwierzytelnić tylko w źródle entropii.

Źródło entropii to fizyczna lokalizacja, w której generowane są dane. NIST zwrócił uwagę na podobną lukę wykorzystaną w lipcu 2023 r., co spowodowało straty finansowe. Opracowano:

"Atakujący może systematycznie tworzyć mnemoniki dla każdego znacznika czasu w odpowiednich ramach czasowych i kojarzyć je z określonymi adresami portfeli w celu kradzieży środków."

Ujawnienie to zostało upublicznione 8 lutego i jest obecnie badane w celu oceny rzeczywistego zakresu podatności.

Według CVE, amerykańskiego Departamentu ds.Program sponsorowany przez Departament Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych, Secbit Labs zainicjował dochodzenie w sprawie aplikacji Binance Trust Wallet dla iOS po tym, jak kilka portfeli Ether zostało naruszonych.

Wyśledzili starszą wadę generacji portfela w wersji Trust Wallet na iOS z 2018 r. i powiązali ją z poważnymi kradzieżami z 12 lipca 2023 r.

Binance nie odpowiedziało na prośbę Cointelegraph o komentarz. Niemniej jednak niezależne dochodzenie przeprowadzone przez Milk Sad ujawniło co najmniej 6 572 unikalnych mnemoników portfeli zagrożonych utratą funduszy.

Okazało się, że aplikacja Trust Wallet dla iOS wykorzystywała kod open-source do generowania nowych portfeli kryptowalut przy użyciu niebezpiecznych funkcji w bibliotece "trezor-crypto", nieprzeznaczonej do produkcji.

Po potwierdzeniu istnienia podatnych portfeli, zarzucił im udział w kradzieży Milk Sad.

Po przeprowadzeniu dochodzenia, NIST przypisze bazową ocenę do podatności aplikacji, w zakresie od 0 do 10, w oparciu o jej wagę.

Źródła:

https://cointelegraph.com/news/us-binance-trust-wallet-ios-vulnerability

https://nvd.nist.gov/vuln/detail/CVE-2024-23660

https://www.cve.org/CVERecord?id=CVE-2024-23660

https://secbit.io/blog/en/2024/01/19/trust-wallets-fomo3d-summer-vuln/