Czy portfele sprzętowe mogą paść ofiarą wirusa?

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji

Siema mordo, dobrze, że o to pytasz. W krypto lekka paranoja to nie jest choroba, to po prostu instynkt przetrwania. Naczytałeś się FUDu na fejsowych grupkach i teraz masz mętlik w głowie, co jest totalną klasyką u świeżaków. Odpowiadając na twoje główne rozkminy, mianowicie czy portfele sprzętowe mogą paść ofiarą wirusa – krótka piłka: fizycznie i programowo sam sprzęt jest bezpieczny jak bunkier, ale ty jako użytkownik możesz łatwo dać się zrobić w bambuko.

Złośliwy kod na PC, taki jak te clippery o których piszesz, to mega powszechny problem. Wirus na komputerze faktycznie siedzi sobie w tle i tylko czeka, aż skopiujesz adres z giełdy czy od ziomka. Wklejasz go w apkę Ledgera, patrzysz na monitor peceta – okej, niby wszystko gra (choć zaawansowane trojany podmieniają to nawet w interfejsie apki). I tutaj wjeżdża cała magia cold walletów. Zawsze, ale to absolutnie zawsze sprawdzasz adres bezpośrednio na tym małym wyświetlaczu na swoim sprzęcie. Jak złośliwe oprogramowanie podmieni ciąg znaków, to na ekraniku hardware'u zobaczysz adres portfela hakera, a nie swój. Wtedy po prostu dajesz "Reject" na przyciskach i twój hajs jest uratowany.

Pytasz, czy malware może po kablu USB wbić się do bebechów i zrobić jakiś magiczny włam na portfel sprzętowy. Nie ma takiej opcji. Komunikacja między pecetem a cold walletem jest mocno ograniczona. Twój zasyfiony windows wysyła do sprzętu jedynie surowe dane transakcji z prośbą o podpis. Klucze prywatne (twój seed) siedzą zabetonowane w specjalnym chipie (w Ledgerze to tzw. Secure Element). Ten chip nigdy nie udostępnia kluczy na zewnątrz. Sprzęt podpisuje transakcję wewnątrz swojego zamkniętego środowiska i odsyła do zawirusowanego systemu tylko gotowy, kryptograficzny autograf. Złośliwy soft nie ma jak wyciągnąć kluczy, bo one fizycznie nie przepływają przez ten kabel USB.

A co z tą lewą aktualizacją firmware'u? Dobrze kminisz, że to mógłby być wektor ataku, ale producenci też to przewidzieli. Oprogramowanie bazowe ma twarde cyfrowe sygnatury od producenta. Gdyby zmanipulowana apka ściągnęła jakiś zawirusowany soft i próbowała go wgrać, urzadzenie po prostu odrzuci instalację, bo klucz podpisu sprzętowego nie będzie się zgadzał. W najgorszym razie zimny portfel zresetuje się do ustawień fabrycznych w ramach ochrony, kasując wszystko, ale haker i tak nie przejmie kontroli nad twoim seedem. Odzyskasz sobie potem środki z kartki.

Skąd więc te płacze w necie, że komuś wyczyścili sprzęt z krypto? W 99% przypadków ktoś po prostu wpisał swoje 24 słowa odzyskiwania na klawiaturze zainfekowanego kompa (np. bo mu wyskoczył fałszywy popup w apce udający support). Czasem też ludzie wchodzą w złośliwe smart kontrakty i klikają blind signing w DeFi, autoryzując wyprowadzenie tokenów. Wtedy całe bezpieczeństwo krypto idzie w piach, ale to nie jest wina sprzętu, tylko błędu białkowego. Sam otwierasz drzwi złodziejowi.

Więc wrzuć na luz. Nie musisz odpalać trzech antywirusów i łapać schizy przed każdym podpięciem wtyczki. Twój portfel jest zaprojektowany właśnie po to, żebyś mógł bezpiecznie autoryzować transakcję nawet, jak twój pecet to jedna wielka wylęgarnia trojanów z pirackich gier. Ufaj tylko i wyłącznie temu, co wyświetla się na ekranie Ledgera, nigdy nie cykaj fotek seeda i będzie git.

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji

Siema, dorzucę swoje trzy grosze, bo kolega wyżej elegancko wyjaśnił temat od strony samych bebechów, ale jest jeszcze jeden kąt, o którym rzadko się trąbi w krypto. Zastanawiasz się czy portfele sprzętowe mogą paść ofiarą wirusa – technicznie rzecz biorąc odpowiedź brzmi "nie", ale w praktyce hakerzy o tym doskonale wiedzą. Dlatego totalnie zlewają atakowanie samego kabla USB i uderzają z zupełnie innej strony.

Wirus na komputerze wcale nie musi łamać potężnych zabezpieczeń sprzętowych twojego Ledgera. Zamiast tego może ci zrobić niezły mindfuck, celując prosto w interfejs aplikacji. Wyobraź sobie, że jakiś zaawansowany trojan podmienia ci skrót albo pliki instalacyjne od Ledger Live na kompie. Odpalasz program, apka wygląda kropka w kropkę jak oryginał, logujesz się, a tam nagle wyskakuje wielki, czerwony alert: "Device firmware corrupted. Please enter your 24 words to restore wallet and prevent funds loss". No i co robią ludzie? Świeżaki w panice klepią seeda z palca na klawiaturze zawirusowanego peceta. Twój zimny portfel leży sobie wtedy bezpiecznie na biurku, nikt do jego czipu się nie włamuje, a krypto i tak magicznie znika po paru minutach. Sprzętowe bezpieczeństwo krypto to tarcza, ale ty jesteś decydentem, którego łatwo zmanipulować.

Druga kwestia to łańcuch dostaw. Skąd wziąłeś ten sprzęt? Jeśli bezpośrednio ze strony producenta, to chill. Ale jak kupiłeś od jakiegoś typa z olxa zafoliowane pudełko "taniej o stówę", to włam na portfel mógł nastąpić zanim wogóle wyciągnąłeś go z kartonu. Zdarzały się już takie akcje, gdzie cwaniaki modyfikowały fizycznie płytkę w środku i dogrywały lewy soft, który generował z góry ustawione klucze prywatne. Złośliwe oprogramowanie na PC to pikuś przy hardware, który już na starcie jest zatruty.

Trzeci temat, z którym jest teraz największy problem, to szeroko pojęte Web3 i smart kontrakty. Wchodzisz na jakąś nową stronkę, podpinasz swój sprzęt, bo chcesz coś zrzucić na dexa czy wymintować darmowe NFT. Klikasz "Approve" na powiadomieniu, myśląc że to zwykłe logowanie, a tak naprawdę dajesz złośliwemu kontraktowi nielimitowany dostęp do swoich środków. Ledger posłusznie to podpisze, bo przecież to ty fizycznie wcisnąłeś przyciski na obudowie. Twój portfel nie wie, czy po drugiej stronie jest legitna giełda, czy chamski scam. On po prostu wykonuje matematykę, o którą go poprosisz.

Reasumując te rozkminy: sam twój sprzęt jest z betonu. Złośliwy kod z Windowsa nie przeciśnie się przez kabel, żeby magicznie ukraść twoje klucze prywatne. Ufaj tylko temu, co wyświetla się na małym ekraniku sprzętu, nigdy nie wpisuj swoich 24 słów nigdzie indziej niż bezpośrednio na samym urządzeniu i bardzo uważaj, co zatwierdzasz w sieci. Jak tego przypilnujesz, to możesz mieć na kompie farmę trojanów, a twoje krypto i tak pozostanie bezpieczne.