A Ledger, fabricante de carteira hardware que armazena Bitcoin e outras criptomoedas, alertou seus usuários sobre uma grande ameaça de ataque recentemente descoberto. Embora não tenham ocorrido casos do ataque ter sido concluído com sucesso, a ameaça existe de fato. Recentemente, a Ledger pediu para que os usuários de sua carteira sigam algumas instruções para se resguardar contra o risco de terem seus endereços digitais prejudicados. A empresa vendeu mais de um milhão de carteiras em 2017.
As carteiras hardware são consideradas um dos meios mais seguros para armazenar ativos digitais. Os dispositivos de armazenamento offline (cold storage) USB eliminam os riscos de ataques, por não estarem conectados à web. Mas para enviar fundos ou emitir um endereço de recebimento, uma carteira hardware deve ser conectada a um dispositivo com internet, e os pesquisadores descobriram uma vulnerabilidade que afeta as carteiras Ledger nesta fase do processo.
Um relatório recentemente publicado revela a forma como o ataque denominado MiTM se desenrolou. As carteiras Ledger geram o endereço de recebimento usando um código JavaScript em execução no computador do usuário. O vírus, então, pode simplesmente substituir o código responsável por gerar o endereço de recebimento por um outro endereço, fazendo com que todos os depósitos futuros sejam enviados para o invasor.
O ataque, se executado, deixaria a vítima inconsciente, em primeiro lugar, de que qualquer coisa ocorreu. Para provar que a vulnerabilidade é real, os autores do relatório publicaram uma prova de conceito que demonstra o ataque em ação. A gravidade do ataque é aumentada pelo fato de que, com o software da carteira Ledger armazenado na pasta AppData, é relativamente fácil para o vírus modificar o endereço de recebimento. Como o relatório observa, “tudo o que o vírus precisa fazer é substituir uma linha de código“.
Para evitar sofrer este ataque, existe uma forma de verificar se o endereço de recebimento está correto, conforme o relatório explica e, conforme uma publicação feita pela Ledger em seu Twitter na manhã desta segunda-feira, 05 de fevereiro: “Verifique sempre o endereço de recebimento na tela do dispositivo clicando no botão do monitor“, conforme mostra a imagem abaixo:
Confira nossas sugestões de Pre-Sales para investir agora
Esta solução não é totalmente segura porque depende do usuário se lembrar de seguir este procedimento toda vez que for realizar uma transação. Como o relatório salienta: “Uma solução adequada seria [forçar] o usuário a validar o endereço de recebimento antes de cada transação de recebimento, assim como a carteira [força] o usuário a aprovar cada transação de envio“.
Esse é o sistema que a Trezor tem utilizado em suas carteiras hardware, exigindo o uso da autenticação de dois passos inclusive para acessar o endereço de recebimento. Espera-se que a Ledger siga o exemplo na atualização da sua carteira, adotando a mesma metodologia. As carteiras hardware ainda são significativamente mais seguras do que deixar os fundos armazenados em uma corretora de criptomoedas centralizada, porém nenhuma solução é totalmente infalível, como demonstra o caso da Ledger.
