Um relatório postado pela Kaspersky, famosa por seu anti-vírus homônimo, revela que um investidor perdeu 1,33 bitcoin (R$ 180.000) após armazenar suas criptomoedas em uma carteira de hardware que havia sido adulterada.
Segundo o relato da empresa, a carteira Trezor Model T parecia estar em perfeitas condições. Além de ter sido comprada de um vendedor confiável, seus selos holográficos de proteção (tanto da caixa quanto da própria carteira) não estavam danificados.
Ao iniciar a carteira, tudo também parecia normal. Ou seja, nenhum aviso de que algum de seus componentes havia sido modificado por terceiros era mostrado.
Mesmo sem nenhum indício de adulteramento, o dono da carteira continuava afirmando que seus bitcoins não foram movidos por ele. A carteira nem sequer estava conectada ao computador, adicionou a vítima.
Kaspersky revela método usado pelos atacantes
Continuando a análise, a Kaspersky aponta todas as qualidades que fazem a Model T da Trezor ser uma das carteiras de criptomoedas mais populares por conta de sua segurança. Indo além, a carteira violada não parecia ter nada de diferente de uma carteira original.
“Todas as funções funcionaram como deveriam e a interface do usuário não era diferente da original.”
No entanto, uma pesquisa mais detalhada revelou um problema com a versão do bootloader, parte responsável por conferir a assinatura do firmware, essencial para a segurança da carteira.
“Descobrimos que o fornecedor nunca havia lançado a versão 2.0.4 do bootloader”, apontou a Kaspersky. “O histórico de alterações do projeto no GitHub afirma concisamente que esta versão foi “ignorada devido a dispositivos falsos”.”
Na sequência, a carteira foi então aberta pela empresa para buscar por mudanças no hardware. As diferenças foram encontradas já no padrão de selagem.
“Foi difícil abrir a carcaça: suas duas metades estavam grudadas por uma quantidade generosa de cola e fita adesiva dupla face, em vez da colagem ultrassônica usada nas Trezors [originais]”, descreveu a empresa. “Ainda mais curioso, dentro havia um microcontrolador totalmente diferente mostrando vestígios de solda!”
Finalizando, também foi notado que alguns componentes de hardware foram trocados para que o ataque fosse possível.
Como o ataque na Trezor Model T foi concluído
Embora a Kaspersky exiba uma captura de tela das transações de entrada e saída, os endereços foram ocultados pela empresa.
De qualquer forma, é notável que os hackers tiveram paciência. Eles esperaram pouco mais de um mês para roubar as criptomoedas, talvez na esperança de uma nova transferência ou então para não levantar suspeitas sobre o hardware.
Quanto ao ataque, a empresa afirma que a carteira sofreu três modificações. A primeira, mencionada anteriormente, evitava o aparecimento do alerta da Trezor.
A segunda estava relacionada ao firmware. Em suma, os hackers substituíram o processo de geração aleatória da frase semente por outras pré-determinadas por eles, um total de 20. Ou seja, os golpistas teriam acesso a quaisquer fundos que viriam a ser depositados nos endereços fornecidos pela carteira modificada.
De acordo com o especialista Jefersson Rondolfo, a única forma de um usuário se proteger é adquirir os produtos diretamente com o fabricante ou de uma revenda oficial, como a KriptoBR.
“Até então, sabíamos da existência de falsificações de Ledger e Trezor One, porém esta é a primeira vez que foram identificadas adulterações na Trezor T. O usuário mencionado deixou-se influenciar pelas avaliações positivas de um vendedor, em vez de verificar se era uma revenda oficial.” — disse Rondolfo.
Por fim, a Trezor conta com mais um mecanismo de segurança que permite que os usuários definam uma senha extra. No entanto, os hackers modificaram o sistema de modo que apenas o primeiro caractere dessa senha fosse gravado. Portanto, nem mesmo tal senha aumentaria a segurança da vítima.
“A falsa carteira de criptomoedas funcionaria normalmente, mas os invasores tinham controle total sobre ela desde o início.”
Conforme tal ataque é altamente sofisticado, a Kaspersky nota que a única maneira de evitá-lo é comprando a carteira diretamente do fornecedor oficial. Outra maneira seria a busca pela versão do bootloader, já que apenas uma parece ter essa brecha.
