По словам Рашида, о соответствующей проблеме он сообщил Ledger еще в ноябре 2017 года, однако с тех пор уязвимость так и не была устранена. Кроме того, утверждается, что исполнительный директор компании Эрик Ларшевик назвал в переписке эксплойт «не критичным», сообщает Forklog.
Накануне Рашид опубликовал в своем блоге запись под заголовком «Ломаем модель безопасности Ledger», в которой утверждает, что все еще может «автономно извлечь приватный ключ» и использовать его для изменения адресов назначения исходящих транзакций.
Впрочем, для этого сперва необходимо модифицировать прошивку устройства, прежде чем его активирует конечный пользователь, поэтому в опасности находятся в основном покупатели с eBay и других подобных площадок.
Суть эксплойта заключается в том, что современные кошельки Ledger используют при работе две платы, которые Рашид для простоты обозначил SE и MCU. Первая защищена на аппаратном уровне, однако не поддерживает работу с USB, кнопками и интерфейсными экранами — за все эти функции отвечает MCU, не обладающая необходимой защитой от вмешательства и служащая своего рода буфером обмена.
Как утверждает Рашид, потенциально злоумышленники могут внести изменения в программное обеспечение MCU и таким образом впоследствии получить доступ к приватным ключам пользователей — процедуру подросток наглядно демонстрирует в видеоролике.
Кроме того, соответствующие инструкции он выложил на GitHub. Стоит отметить, что, по словам Рашида, уязвимости подвержены все устройства Ledger с прошивкой версии 1.3.1 и старше.
В свою очередь, разработчики Ledger в тот же день выпустили новую версию программного обеспечения — 1.4.1. Утверждается, что обновление исправляет три эксплойта, среди которых и тот, что описан Рашидом.
«В процессе апдейта проверяется целостность вашего устройства, поэтому успешное обновление до версии 1.4.1 гарантирует, что в кошелек не было внесено никаких изменений. Нет необходимости в каких-либо дополнительных действиях, ваши приватные ключи и сиды находятся в безопасности», — говорится в блоге Ledger.