Un ricercatore scopre una grave vulnerabilità nel sito del portafoglio Cripto cartaceo

Un ricercatore di sicurezza di MyCrypto.com,Harry Denley, ha pubblicato un'analisi dettagliata e schiacciante del sito di portafogli cartacei WalletGenerator.net.

Il CORE dell'analisi si basa sul codice open source originale di WalletGenerator, disponibile qui. Fino al 17 agosto 2018 il codice online corrispondeva al codice open source e l'intero progetto generava portafogli utilizzando una tecnica lato client che prendeva entropia casuale reale e produceva un portafoglio unico. Ma qualche tempo dopo quella data i due set di codice hanno smesso di corrispondere.

Il risultato? La possibilità molto concreta cheGeneratore di portafoglista dando le stesse chiavi a più utenti. Per testarlo,Ricercatore di MyCryptoho fatto funzionare il generatore in blocco e ho ottenuto risultati strani.

"Avvicinandoci da un'altra angolazione, abbiamo quindi utilizzato il generatore "Bulk Wallet" per generare 1.000 chiavi. Nella versione GitHub non dannosa, ci vengono fornite 1.000 chiavi univoche, come previsto.

Tuttavia, utilizzando WalletGenerator.net in vari momenti tra il 18 maggio 2019 e il 23 maggio 2019, otterremmo solo 120 chiavi univoche per sessione. Aggiornando il nostro browser, cambiando posizione VPN o facendo eseguire lo stesso test a una parte diversa, verrebbe generato un set diverso di 120 chiavi."

Sebbene lo strano comportamento non sia stato riscontrato fino a venerdì scorso (24 maggio), potrebbe ripresentarsi in qualsiasi momento.

"Consideriamo ancora questa cosa altamente sospetta e continuiamo a consigliare agli utenti che hanno generato coppie di chiavi pubbliche/private dopo il 17 agosto 2018 di spostare i loro fondi", afferma il ricercatore. "Non consigliamo di usare WalletGenerator.net in futuro, anche se il codice in questo preciso momento non è vulnerabile".

Puoi leggere l'interosegnala qui, ma Denley consiglia di spostare i fondi dai tuoi portafogli cartacei basati su WalletGenerator. Poiché non esiste un modo chiaro per contattare i "due tizi a caso [sic] che si divertono con un progetto parallelo" che apparentemente gestiscono il sito, possiamo tranquillamente consigliarti di evitare del tutto il sito.

Immagine del codice tramite Shutterstock