Уязвимость в web-версии Ever Surf позволяла взломать криптокошельки

Уязвимость в браузерной версии криптовалютного кошелька Ever Surf позволяла получить полный контроль над средствами пользователей. По словам специалистов из Check Point Research, эксплуатация проблемы могла позволить злоумышленникам расшифровать закрытые ключи и начальные фразы в локальном хранилище браузера.

«Поскольку локальное хранилище браузера не защищено, хранящиеся там данные должны быть надежно зашифрованы. Несмотря на то, что Surf использует надежные криптографические библиотеки для получения ключей и шифрования, конфиденциальные данные в web-версии Surf не имеют должной защиты», — отметили эксперты.

В Ever Surf ключи, необходимые для подписи транзакций, хранятся только на устройстве пользователя, а операции с блокчейном выполняются только на стороне клиента. Из-за этого у него нет регистрации, требующей учетных данных. Когда люди запускают приложение в первый раз, им предлагается создать новый кошелек, и Ever Surf генерирует исходную фразу, а также открытый и закрытый ключи. В то же время пользователю предлагается создать шестизначный PIN-код для входа в приложение и подтверждения транзакций. Ключи и исходная фраза хранятся в локальном хранилище web-браузера, которое не защищено.

«Человек, имеющий физический доступ к компьютеру или любому приложению или вредоносному ПО, такому как инфостилер, мог получить эти данные. Кроме того, к локальному хранилищу могло получить доступ расширение браузера, которое затем могло привести к утечке сохраненных данных. Следовательно, локальное хранилище браузера нельзя считать достаточно безопасным», — пояснили специалисты.

Исследователям удалось получить доступ к хранилищу ключей из локального хранилища браузера и расшифровать информацию всего за 38 минут.