Khóa "ngẫu nhiên" của WalletGenerator không hợp lệ và khóa dễ bị sao chép

Theo Giải mã Báo cáo rằng một lỗ hổng nghiêm trọng trong WalletGenerator sau ngày 17 tháng 8 năm 2018 có thể ảnh hưởng đến tính bảo mật tiền của người dùng.

WalletGenerator là một dịch vụ, tạo ra các khóa riêng và khóa chung có thể in được để lưu trữ tiền điện tử.

Các nhà phân tích MyCrypto ngày nay Đó là nhận thấy rằng khả năng thực sự "ngẫu nhiên" các khóa công khai và riêng tư (cặp khóa) của WalletGenerator đã bị hỏng. "Ngẫu nhiên hóa" là một phần quan trọng để đảm bảo rằng tiền được an toàn bằng mật mã và không thể bị phá vỡ. Nhưng bây giờ chúng không được tạo ngẫu nhiên mà được lấy từ một nguồn dữ liệu tĩnh duy nhất; hình ảnh được trình bày trên trang web WalletGenerator. Điều này có nghĩa là cặp khóa có thể dễ dàng bị sao chép bởi kẻ xấu có quyền truy cập vào dữ liệu hình ảnh.

Giám đốc bảo mật của MyCrypto, Harry Denley, đã nói trong một cuộc phỏng vấn: " Điều này hoàn toàn chứng tỏ rằng tính ngẫu nhiên không phải là ngẫu nhiên."

Harry Denley gọi con bọ này là "rất thông minh" vì nó có thể không bị phát hiện. Ông nói: “Thông thường, các trình tạo khóa độc hại sẽ được sử dụng và khi người dùng tạo khóa, họ sẽ gửi bí mật được tạo trở lại máy chủ”. Cách tiếp cận này để lại bí mật cho người dùng, khiến cho các phương thức của nó không thể bị theo dõi.

Chặn nhịp thay đổi theo cách khác từ, chỉ người có quyền truy cập vào hình ảnh (người đứng sau trang web WalletGenerator) mới có thể sao chép cặp khóa. Denley nói thêm trong một bài báo trên Medium rằng các lỗi đã được xóa một cách bí ẩn sau khi anh liên hệ với những người điều hành trang web vào ngày 22 tháng 5. Lỗ hổng ban đầu được gây ra bởi "các thay đổi mã" được giới thiệu vào tháng 8 năm ngoái đã được lưu trong máy Wayback. Denley viết trên blog cá nhân của mình: “Trong sự cố kỳ lạ này, chúng tôi vẫn không biết liệu chủ sở hữu trang web hiện tại là bên độc hại, máy chủ không được bảo mật hay cả hai”.

Tôi nên làm gì? Denley khuyên người dùng ngay lập tức "tạo một cặp khóa/ví mới và chuyển tiền đến một địa chỉ mới, an toàn." MyCrypto cũng khuyên bạn nên gửi tiền tới BitAddress, một dịch vụ ví lạnh ngoại tuyến. WalletGenerator dường như khá phổ biến, thu hút khoảng 140.000 người dùng hàng tháng theo SameWeb. Dịch vụ của nó cho phép người dùng tải cặp khóa được cho là ngẫu nhiên vào ví giấy, sau đó được in và lưu trữ ngoại tuyến.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia