当前位置:首页 > 知识 >

区块链钱包漏洞:加密货币被盗

CheckPoint研究人员发现了Everscale区块链钱包中的一个安全漏洞,该漏洞可被用来窃取用户的加密货币

EverSurf是一个跨平台的消息应用和区块链浏览器,也是Everscale区块链的加密货币钱包。该应用使用ReactNative开发框架编写,并上传到了GooglePlayMarket和AppleStore应用市场。此外,还有一个可运行在任意平台的EverSurf web版本。

漏洞分析: Surf钱包中用于对交易进行签名的密钥只保存在用户设备上。所有的区块链操作都是在客户端上执行的,因此无需注册。 当用户第一次运行应用时,会被建议创建一个新的钱包。Surf会生成一个seed词组和公私钥对。同时,用户会被要求创建一个6位数字的PIN码。 该PIN码用于登录应用和确认交易,Surf还有一个保护机制来防止暴力破解PIN码。

然而,即使没有保护机制,创建的密钥和seed词组也保存在浏览器的本地存储中。本地存储是使用特征从JS访问的key-value存储。而且本地存储在web浏览器中并不受保护, 可以通过物理或恶意软件访问用户计算机来获取这些数据。此外,本地存储还可以被浏览器扩展访问,从而泄露保存的数据。

为了保护用户的资金,Surf应用会在用户输入正确PIN码后加密seed词组并显示出来。然而,研究人员发现了一个函数,可以通过暴力破解PIN码来获取加密的keystore。在测试中,研究人员成功地破解了一个6位PIN码并解密了seed词组。

Checkpoint研究人员已将该漏洞报告给了EverSurf的开发者,开发团队发布了修复该漏洞的桌面版。当前的web版本仅用于开发目的,使用seed词组的账户不在其中使用。

猜你喜欢

关注我们

微信二维码

微信