Сотрудник Shift Crypto успешно развернул атаку с выкупом на аппаратные кошельки Trezor и KeepKey в мае прошлого года. Хотя Trezor выпустил исправление 2 сентября, KeepKey еще не исправил проблему.
Согласно сообщению в блоге опубликовано 2 сентября уязвимость затронула все криптовалюты на уязвимых устройствах. Эксплойт, который впервые был обнаружен 15 апреля разработчиками Shift Crypto, также затронул кошельки KeepKey, которые изначально были основаны на форке кода Trezor и, вероятно, работают на аналогичной основе.
Когда его спросили об уязвимости, представитель KeepKey, по-видимому, ответил, что исправление еще не разработано, объяснив, что их разработчики «в первую очередь работают над более приоритетными элементами».
Автор сообщения в блоге предупредил:
«Вредоносный кошелек или злоумышленник [ransomware] изменение данных, передаваемых через USB, может отправить произвольную фальшивую парольную фразу в Trezor / KeepKey и удерживать любые монеты, полученные в этом кошельке, в заложниках ».
Он также добавил, что парольную фразу, введенную пользователем, можно «просто проигнорировать» в пользу замены парольной фразы, известной только злоумышленнику.
В мае клиентские базы данных Trezor, Ledger и KeepKey якобы были выставлены на продажу после серьезной утечки данных.
Хакер утверждал, что владеет информацией об аккаунтах почти 41 500 пользователей Ledger, более 27 100 пользователей Trezor и 14 000 клиентов KeepKey.
В то время SatoshiLabs отметили, что не верят в достоверность информации.