GetBlock Magazine – Что произошло? Исследователи обнаружили новый метод, который хакеры могут использовать для извлечения секретных ключей из аппаратного биткоин-кошелька с помощью всего двух подписанных транзакций. Уязвимость, получившая название «Dark Skippy», потенциально затрагивает все модели аппаратных кошельков, но она может сработать только в том случае, если злоумышленник обманом заставит жертву загрузить вредоносное ПО.
Отчет исследователей
Что еще известно? Предыдущая версия метода требовала, чтобы жертва отправляла «десятки» транзакций, новая же версия «Dark Skippy» может быть реализована, даже если жертва отправит только пару транзакций в блокчейн. Кроме того, атака может быть выполнена, даже если пользователь использует отдельное устройство для генерации seed-фраз.
Отчет был опубликован Ллойдом Фурнье и Ником Фэрроу, соучредителями компании-производителя аппаратных кошельков Frostsnap, а также Робином Лайнусом, одним из создателей биткоин-протоколов ZeroSync и BitVM.
Согласно отчету, прошивка аппаратного кошелька может быть запрограммирована таким образом, чтобы вставлять части seed-фраз пользователя в «секретные одноразовые коды (нонсы) с низкой энтропией», которые затем используются для подписи транзакций. Полученные подписи отправляются в блокчейн после подтверждения транзакций. Затем злоумышленник может просканировать блокчейн, чтобы найти и записать эти подписи.
Итоговые подписи содержат только публичные нонсы, а не сами части seed-фразы. Однако злоумышленник может ввести эти общедоступные нонсы в Алгоритм «кенгуру» Полларда, чтобы успешно вычислить секретные нонсы из их общедоступных версий.
Алгоритм «кенгуру» Полларда авторства математика Джона Полларда предназначен для решения задачи дискретного логарифмирования.
Таким образом можно получить полную seed-фразу пользователя, даже если он создал только две подписи со своего скомпрометированного устройства, а seed-фраза была сгенерирована на другом устройстве.
Авторы предлагают производителям кошельков усилить методы защиты устройств от проникновения стороннего ПО и ограничить возможности устройств по генерации нонсов, а пользователям — надежнее хранить устройства, например в сейфах или пакетах с защитой от вскрытия.
В августе 2023 года ИБ-компания SlowMist сообщила, что из-за уязвимости в библиотеке Libbitcoin explorer были украдены биткоины на сумму более $900 000. В ноябре Unciphered сообщила, что BTC на 2,1 млрд долларов, хранящиеся на старых кошельках, могут быть выведены злоумышленниками из-за ошибки в ПО кошелька BitcoinJS.
Читайте оригинальную статью на сайте GetBlock Magazine
Доходность майнинг пулов — это показатель, который отображает, сколько прибыли майнеры могут ожидать от участия в конкретном пуле в процессе добычи криптовалюты (например, биткоина). Доходность зависит от нескольких факторов, включая хешрейт пула, комиссию, модель распределения доходов и стабильность выплат.
Доходность пула измеряется в биткоинах, долларах или другой валюте, в зависимости от того, как майнеры получают свои выплаты. Обычно доходность измеряется за определенный период, например, в день, неделю или месяц, и может зависеть от ряда факторов, таких как сложность сети биткоина, количество блоков, найденных пулом, и общий хешрейт пула.
Пример: Если пул нашел 10 блоков за месяц, и общий доход составил 1 BTC, то для майнера, который вложил 10% хешрейта в пул, доход составит 0.1 BTC за месяц.
