USA untersuchen Trust Wallet iOS App

Eine Abteilung des Handelsministeriums der Vereinigten Staaten untersucht die Binance Trust Wallet App auf eine mögliche Schwachstelle, die es Angreifern ermöglichen könnte, Kryptowährungsgelder zu stehlen.

Nach Angaben des National Institute of Standards and Technology (NIST), das amerikanische Innovationen fördert, missbraucht eine bestimmte Version der Binance Trust Wallet-App "die Trezor-Krypto-Bibliothek", um mnemonische Phrasen zu erstellen, die nur an der Entropiequelle authentifiziert werden können.

Eine Entropiequelle ist ein physischer Ort, an dem Daten erzeugt werden. Das NIST wies auf eine ähnliche Sicherheitslücke hin, die im Juli 2023 ausgenutzt wurde und zu finanziellen Verlusten führte. Es führte aus:

"Ein Angreifer kann systematisch Mnemonics für jeden Zeitstempel innerhalb eines relevanten Zeitrahmens erstellen und diese mit bestimmten Wallet-Adressen verknüpfen, um Gelder zu entwenden."

Diese Enthüllung wurde am 8. Februar veröffentlicht und wird nun geprüft, um das tatsächliche Ausmaß der Schwachstelle zu ermitteln.

Laut CVE, einem vom U.S. Department of Homeland Security-gefördertes Programm, hat Secbit Labs eine Untersuchung der Binance Trust Wallet-App für iOS eingeleitet, nachdem mehrere Ether-Wallets kompromittiert wurden.

Sie haben einen älteren Wallet-Generation-Fehler in der iOS-Version von Trust Wallet aus dem Jahr 2018 ausfindig gemacht und ihn mit den großen Diebstählen am 12. Juli 2023 in Verbindung gebracht.

Binance hat auf die Anfrage von Cointelegraph nach einem Kommentar nicht reagiert. Nichtsdestotrotz hat eine unabhängige Untersuchung von Milk Sad mindestens 6.572 einzigartige Wallets aufgedeckt, bei denen ein Risiko für den Verlust von Geldern besteht.

Es wurde festgestellt, dass die Trust Wallet App für iOS Open-Source-Code für die Generierung neuer Kryptowährungs-Wallets verwendet, die unsichere Funktionen in der "trezor-crypto library" nutzen, die nicht für die Produktion vorgesehen sind.

Nachdem die Existenz der anfälligen Wallets bestätigt wurde, wurde deren Beteiligung an den Milk Sad-Diebstählen vermutet.

Nach der Untersuchung wird das NIST der Schwachstelle der App einen Basiswert zuweisen, der je nach Schweregrad von 0 bis 10 reicht.

Quellen:

https://cointelegraph.com/news/us-binance-trust-wallet-ios-vulnerability

https://nvd.nist.gov/vuln/detail/CVE-2024-23660

https://www.cve.org/CVERecord?id=CVE-2024-23660

https://secbit.io/blog/en/2024/01/19/trust-wallets-fomo3d-summer-vuln/