Gli USA indagano sull'app iOS Trust Wallet

Una divisione del Dipartimento del Commercio degli Stati Uniti sta esaminando l'app Binance Trust Wallet alla ricerca di una potenziale vulnerabilità che potrebbe consentire agli aggressori di rubare fondi di criptovaluta.

Secondo il National Institute of Standards and Technology (NIST), che promuove l'innovazione americana, una versione specifica dell'app Binance Trust Wallet "utilizza in modo improprio la libreria trezor-crypto" per creare frasi mnemoniche che possono essere autenticate solo alla fonte di entropia.

Una fonte di entropia è un luogo fisico dove vengono generati i dati. Il NIST ha evidenziato una vulnerabilità simile sfruttata nel luglio 2023, con conseguenti perdite finanziarie. Ha elaborato:

"Un utente malintenzionato può creare sistematicamente mnemoniche per ogni timestamp all'interno di un arco di tempo rilevante e associarle a indirizzi di portafogli specifici per sottrarre fondi"."

Questa divulgazione è stata resa pubblica l'8 febbraio e ora è sotto esame per valutare l'effettiva portata della vulnerabilità.

Secondo CVE, un ente del Dipartimento di Sicurezza Nazionale degli Stati Uniti, la vulnerabilità è stata scoperta in un momento di crisi.Secondo il CVE, un programma sponsorizzato dal Dipartimento della Sicurezza Nazionale degli Stati Uniti, Secbit Labs ha avviato un'indagine sull'applicazione Binance Trust Wallet per iOS dopo che diversi portafogli di Ether sono stati compromessi.

Hanno rintracciato una vecchia falla nella generazione del portafoglio nella versione iOS di Trust Wallet del 2018 e l'hanno collegata ai principali furti del 12 luglio 2023.

Binance non ha risposto alla richiesta di commento di Cointelegraph. Tuttavia, un'indagine indipendente di Milk Sad ha scoperto almeno 6.572 portafogli mnemonici unici a rischio di perdita di fondi.

Si è scoperto che l'app Trust Wallet per iOS utilizzava un codice open-source per la generazione di nuovi portafogli di criptovalute utilizzando funzioni non sicure nella "libreria trezor-crypto", non destinata alla produzione.

Alla conferma dell'esistenza di portafogli vulnerabili, si è ipotizzato il loro coinvolgimento nei furti di Milk Sad.

In seguito all'indagine, il NIST assegnerà un punteggio di base alla vulnerabilità dell'app, che va da 0 a 10, in base alla sua gravità.

Fonti:

https://cointelegraph.com/news/us-binance-trust-wallet-ios-vulnerability

https://nvd.nist.gov/vuln/detail/CVE-2024-23660

https://www.cve.org/CVERecord?id=CVE-2024-23660

https://secbit.io/blog/en/2024/01/19/trust-wallets-fomo3d-summer-vuln/