Natuklasan ng Mananaliksik ang Malubhang Kahinaan sa Site ng Paper Crypto Wallet

Isang security researcher mula sa MyCrypto.com, Harry Denley, ay nag-post ng isang detalyadong – at nakapipinsalang – pagsusuri ng paper wallet site na WalletGenerator.net.

Ang CORE ng pagsusuri ay nakasalalay sa orihinal na open-source code ng WalletGenerator, magagamit dito. Hanggang Agosto 17, 2018 ang online code ay tumugma sa open-source code at ang buong proyekto ay nakabuo ng mga wallet gamit ang isang client-side technique na kumuha ng totoong random na entropy at gumawa ng isang natatanging wallet. Ngunit ilang sandali pagkatapos ng petsang iyon ang dalawang hanay ng code ay tumigil sa pagtutugma.

Ang resulta? Ang tunay na posibilidad na WalletGenerator ay nagbibigay ng parehong mga susi sa maraming user. Upang subukan ito, Ang mananaliksik ng MyCrypto pinatakbo ang generator nang maramihan at nakakuha ng ilang kakaibang resulta.

"Paglapit mula sa ibang anggulo, ginamit namin ang generator ng "Bulk Wallet" upang bumuo ng 1,000 key. Sa hindi nakakahamak, bersyon ng GitHub, binibigyan kami ng 1,000 natatanging key, gaya ng inaasahan.





Gayunpaman, gamit ang WalletGenerator.net sa iba't ibang oras sa pagitan ng Mayo 18, 2019 — Mayo 23, 2019, makakakuha lang kami ng 120 natatanging key bawat session. Ang pagre-refresh ng aming browser, paglipat ng mga lokasyon ng VPN, o pagkakaroon ng ibang partido na magsagawa ng parehong pagsubok ay magreresulta sa ibang hanay ng 120 key na mabubuo."

Bagama't hindi nakita ang kakaibang pag-uugali noong nakaraang Biyernes (Mayo 24), maaari itong ibalik anumang oras.

"Isinasaalang-alang pa rin namin itong lubos na pinaghihinalaan at inirerekomenda pa rin ang mga user na bumuo ng pampubliko / pribadong keypair pagkatapos ng Agosto 17, 2018, upang ilipat ang kanilang mga pondo," sabi ng mananaliksik. "Hindi namin inirerekumenda ang paggamit ng WalletGenerator.net pasulong, kahit na ang code sa sandaling ito ay hindi masusugatan."

Maaari mong basahin ang kabuuan ulat dito, ngunit inirerekomenda ni Denley ang paglipat ng mga pondo mula sa iyong mga wallet na papel na nakabatay sa WalletGenerator. Dahil walang malinaw na paraan para makipag-ugnayan sa "two random guy [sic] na nagsasaya sa isang side project" na tila nagpapatakbo ng site, maaari naming ligtas na irekomenda na iwasan mo ang site nang buo.

Larawan ng code sa pamamagitan ng Shutterstock