USA vyšetřují aplikaci Trust Wallet pro iOS

Oddělení ministerstva obchodu Spojených států zkoumá aplikaci Binance Trust Wallet kvůli potenciální zranitelnosti, která by mohla útočníkům umožnit krádež prostředků v kryptoměnách.

Podle Národního institutu pro standardy a technologie (NIST), který podporuje americké inovace, konkrétní verze aplikace Binance Trust Wallet "zneužívá knihovnu trezor-crypto" k vytváření mnemotechnických frází, které lze ověřit pouze u zdroje entropie.

Zdroj entropie je fyzické místo, kde se generují data. NIST upozornil na podobnou zranitelnost zneužitou v červenci 2023, která vedla k finančním ztrátám. Rozvádí:

"Útočník může systematicky vytvářet mnemotechnické značky pro každé časové razítko v příslušném časovém rámci a spojovat je s konkrétními adresami peněženek, aby odcizil finanční prostředky."

Toto odhalení bylo zveřejněno 8. února a nyní se zkoumá skutečný rozsah zranitelnosti.

Podle společnosti CVE, U.S.E.US Department of Homeland Security sponzorovaného programem, zahájila společnost Secbit Labs vyšetřování aplikace Binance Trust Wallet pro iOS poté, co bylo ohroženo několik peněženek Ether.

Ve verzi aplikace Trust Wallet pro iOS z roku 2018 vysledovali starší chybu v generování peněženek a spojili ji s velkými krádežemi 12. července 2023.

Binance na žádost Cointelegraphu o komentář nereagovala. Nicméně nezávislé vyšetřování společnosti Milk Sad odhalilo nejméně 6572 unikátních mnemotechnických peněženek, u kterých hrozí ztráta prostředků.

Zjistilo, že aplikace Trust Wallet pro iOS využívala open-source kód pro generování nových kryptoměnových peněženek pomocí nebezpečných funkcí v knihovně "trezor-crypto", která není určena pro produkci.

Po potvrzení existence zranitelných peněženek tvrdila, že se podílely na krádežích peněženek Milk Sad.

Na základě vyšetřování přidělí NIST zranitelnosti aplikace základní skóre od 0 do 10 podle její závažnosti.

Zdroje:

https://cointelegraph.com/news/us-binance-trust-wallet-ios-vulnerability

https://nvd.nist.gov/vuln/detail/CVE-2024-23660

https://www.cve.org/CVERecord?id=CVE-2024-23660

https://secbit.io/blog/en/2024/01/19/trust-wallets-fomo3d-summer-vuln/