Уразлівасць «Дэманічная», якая закранае крыпта-кашалькі, выпраўлена Metamask, Brave, Phantom

15 чэрвеня некалькі кампаній, якія прадастаўляюць крыптакашалькі, а таксама фірма па кіберсекцыі, якая адказвае за пошук эксплойтаў, абвясцілі аб існаванні і наступным выпраўленні праблемы бяспекі, якая закранае кашалькі на аснове пашырэнняў браўзера.

Уразлівасць пад кодавай назвай «Demonic» была выяўлена даследчыкамі бяспекі з Halborn, якія звярнуліся да пацярпелых кампаній у мінулым годзе. Цяпер яны апублікавалі свае высновы, дазволіўшы пацярпелым бакам загадзя вырашыць праблему ў спробе абмежаваць шкоду канчатковым карыстальнікам.

Закрануты Metamask, xDEFI, Brave і Phantom

Дэманічны эксплойт з афіцыйнай назвай CVE-2022-32969 першапачаткова быў выяўлены Halborn яшчэ ў траўні 2021 года. Гэта паўплывала на кашалькі з выкарыстаннем мнемотэхнікі BIP39, дазваляючы перахопліваць фразы аднаўлення зламыснікам выдалена або з дапамогай узламаных прылад, што ў канчатковым выніку прывяло да варожага захопу кашалька.
Аднак для рэалізацыі эксплойта патрабавалася вельмі пэўная паслядоўнасць падзей.

Пачнем з таго, што гэтая праблема не закранула мабільных прылад. Толькі ўладальнікі кашалькоў, якія выкарыстоўваюць незашыфраваныя настольныя прылады, былі ўразлівымі - і ім прыйшлося б імпартаваць сакрэтную фразу аднаўлення з узламанай прылады. Нарэшце, трэба было б выкарыстоўваць опцыю «Паказаць сакрэтную фразу аднаўлення».

⚠Халбарн атрымлівае значную ўзнагароду за бяспеку ад @MetaMask за крытычнае адкрыццё⚠
Мы раскрылі крытычную ўразлівасць, якая закранае @MetaMask, @Храбры, @Фантом, @xdefi_wallet, і іншыя крыптакашалькі на аснове браўзера – кароткі ? аб уразлівасці і як абараніць ? сябе:

- Халбарн (@HalbornSecurity) Чэрвень 15, 2022

Halborn неадкладна пацягнуўся чатыром кампаніям, якія апынуліся пад пагрозай з-за эксплойта, і пачалася таемная праца па вырашэнні праблемы да таго, як яе змогуць выявіць хакеры з чорнымі капелюшамі.

«З-за сур'ёзнасці ўразлівасці і колькасці закранутых карыстальнікаў тэхнічныя падрабязнасці захоўваліся ў сакрэце, пакуль не ўдалося прыкласці добрыя намаганні, каб звязацца з пацярпелымі пастаўшчыкамі кашалькоў.

Цяпер, калі пастаўшчыкі кашалькоў атрымалі магчымасць ліквідаваць праблему і перавесці сваіх карыстальнікаў на бяспечныя фразы аднаўлення, Халборн дае падрабязную інфармацыю, каб павысіць дасведчанасць аб уразлівасці і дапамагчы прадухіліць падобныя ў будучыні».

Праблема вырашана, пільныя ўзнагароджаныя

Распрацоўшчык Metamask Дэн Фінлі апублікаваны паведамленне ў блогу, якое заклікае карыстальнікаў абнавіць кашалёк да апошняй версіі, каб атрымаць выгаду з патча, які зводзіць на нішто праблему. Фінлей таксама папрасіў іх звярнуць увагу на бяспеку ў цэлым, падтрымліваючы прылады ў шыфраванні ўвесь час.

У паведамленні ў блогу таксама было абвешчана аб выплаце Халбарну 50 тысяч долараў за выяўленне ўразлівасці ў рамках праграмы ўзнагароджання за памылку Metamask, якая выплачвае сумы ад 1 да 50 тысяч долараў у залежнасці ад сур'ёзнасці.

Phantom таксама выступіў з заявай па гэтым пытанні, пацвярджае уразлівасць была выпраўлена для карыстальнікаў да красавіка 2022 года. Кампанія таксама вітала Усаму Амры – эксперта, які стаіць за адкрыццём Хэлбарна – у камандзе Phantom па кіберсецы.

1/ Па стане на красавік 2022 года карыстальнікі Phantom абаронены ад крытычнай уразлівасці «Demonic» у пашырэннях крыптабраўзера.

На наступным тыдні выйдзе яшчэ адзін вычарпальны патч, які, як мы верым, будзе зроблены @Фантом самы бяспечны ад «Demonic» у індустрыі. https://t.co/bKE1olpzng

- Фантом (@phantom) Чэрвень 15, 2022

Усе зацікаўленыя бакі заклікалі зацікаўленых карыстальнікаў пераканацца, што яны абнавілі кашалёк да апошняй версіі, і звяртацца ў адпаведныя службы бяспекі па любых дадатковых праблемах.