Nabawi ng hacker ang $2.5 milyon mula sa "unhackable" na wallet ng hardware

Ang pagkawala ng iyong mga crypto key ay katulad ng isang biglaang suntok sa solar plexus, isang bagay na gustong maranasan ng walang may hawak ng crypto. Kapag nawala ang isang pin, imposibleng ma-access ang iyong crypto wallet. Ito ang naisip ni Dan Reich hanggang sa kumuha siya ng isang hacker ng hardware upang pumutok sa kanyang hardware wallet upang ma-access ang $2.5 milyon na hindi nagagalaw sa loob ng maraming taon. 

Noong 2018, ang negosyanteng si Dan Reich at isang kaibigan ay gumastos ng $50,000 sa bitcoin para bumili ng mga token ng Theta na nagkakahalaga ng $0.21 noong panahong iyon. Pagkatapos maling ilagay ang security pin sa isang Trezor One hardware wallet, at 12 nabigong pagtatangka na mag-log in, napagtanto ng magkapares na epektibong nawala nila ang lahat ng crypto asset sa wallet na iyon. Fast-forward sa 2021 nang ang presyo ng THETA ay umabot na sa pinakamataas na lahat at nagpasya si Dan Reich na kumuha ng hindi kinaugalian na ruta upang mabawi ang kanyang crypto. 

A video na pinamagatang “Paano ako na-hack ng hardware na crypto wallet at nakabawi ng $2 milyon” ng hacker ng hardware na si Joe Grand ay naglalarawan sa paglalakbay na ginawa ni Grand upang mabawi ang mga pondo para kay Reich at sa kanyang kaibigan. Isang paglalakbay na sa pagkakataong ito, nauwi sa tagumpay.

Habang ang pagkawala ng isang pin ay maaaring mapangwasak, ito ay hindi karaniwan. Ayon sa Chainanalysis tinatayang 3.7 milyong Bitcoins ($66.5 bilyon) ang pinaniniwalaang nawala at hindi naa-access. Ito ay maaaring dahil sa pisikal na pagkawala ng isang hardware wallet, isang user na nakalimutan ang kanilang pin, o ang pagkasira ng wallet. 

Nagpasya si Reich at ang kanyang kaibigan na hindi nila ibibigay ang $2.5 milyon sa theta na dati nilang ibinigay bilang nawala. Sa pakikipag-ugnayan kay Joe Grand, inilagay nila ang kanilang tiwala sa isang tao na, hindi lamang hindi nila kilala, ngunit isang taong posibleng mawalan ng kanilang mga pondo magpakailanman. Sinabi ni Reich sa isang pakikipanayam sa The Verge na "Kung may ginawa siyang isang bagay, mayroong isang magandang shot na hindi na ito mababawi."

Sa kabutihang palad para sa mga may-ari nitong Trezor One hardware wallet, na-hack ni Grand ang wallet at nabawi ang kanilang mga pondo. Ginamit ng hacker ang karanasan ng isang dating hacker na, noong 2017 ay nakabuo ng isang paraan para maghack sa isang Trezor wallet. Sinamantala ni Grand ang isang kahinaan sa wallet na naglagay ng wallet sa firmware update mode at pagkatapos ay nag-install ng sarili niyang code sa device. Karaniwang inililipat ng mga wallet ng Trezor One ang PIN at susi sa RAM sa panahon ng pag-update ng firmware, na kapag nakumpleto ang impormasyon ay babalik sa flash. Gayunpaman, sa pagkakataong ito ay lumabas ang PIN at key sa RAM ng device sa mga susunod na yugto na magdudulot ng panganib na aksidenteng mapunasan ni Grand ang RAM bago niya mabasa ang data. 

Sa pagkakataong ito, nakapagsagawa si Grand ng pisikal na pag-atake sa device na nagbabago sa dami ng boltahe na pumapasok sa chip. Ito ay nagbigay-daan sa kanya na ma-bypass ang protocol ng seguridad ng pitaka upang maiwasan ang mga hacker na basahin ang RAM at sa wakas ay ma-access ang pin at ibalik ang mga token ng Theta kay Reich at sa kanyang kaibigan.

Nagmadali si Trezor sumagot sa pagsasamantalang ito, na binabanggit na ito ay isang lumang isyu sa seguridad na hindi na nakakaapekto sa mga bagong Trezor wallet:

"Gusto lang naming idagdag na ito ay isang hindi napapanahong pagsasamantala na hindi nababahala para sa mga kasalukuyang gumagamit at naayos namin noong 2017 pagkatapos ng isang ulat na natanggap namin sa pamamagitan ng aming responsableng programa sa pagsisiwalat," 

Ang pagtatangka sa pag-hack ay maaaring matagumpay na natapos para sa pares ng mga negosyante, gayunpaman ang posibilidad na maulit ang kahanga-hangang pagbawi ay mapagtatalunan. Gayunpaman, maaari itong magbigay ng pag-asa para sa iba na nawalan din ng access sa kanilang mga pondo sa crypto. 

Pagwawaksi: Ang artikulong ito ay ibinigay para sa mga layuning pang-impormasyon lamang. Hindi ito inaalok o inilaan upang magamit bilang ligal, buwis, pamumuhunan, pampinansyal, o iba pang payo.