Les portefeuilles de stockage à froid (“cold storage”) sont réputés pour leur fiabilité et leur sécurité. Un rapport publié à la mi-août a pourtant révélé que Trezor, le fabriquant de portefeuille cold storage a été infiltré par des pirates.
Le rapport affirme ainsi que les trezors présentent des vulnérabilités facilement exploitables qui permettent de voler les clés privés, ou de s’identifier à partir de celles-ci.
Comment le piratage a-t-il été rendu possible ?
Sur son blog officiel, trezor a admis la véracité des faits, et a expliqué comment l’attaque a été mené. La société a déclaré que la “seed” permettant de retrouver la clé privée a été enregistrée dans la mémoire flash (le disque dur) et a été déplacée vers la mémoire vive (RAM) pendant l’utilisation de l’appareil. Si quelqu’un avait eu accès a l’appareil et à son firmware, il aurait pu extraire la seed de la RAM et ainsi récupérer la clé privé.
Le défaut de sécurité semble être limité aux appareils trezor, de sorte que les utilisateurs d’autres périphériques comme le ledger ne doivent a priori pas être inquiétés.
Il est cependant conseillé aux utilisateurs de portefeuilles hardware de rester vigilant contre les éventuelles menaces et de s’assurer que leur périphérique soit toujours à jour.
La réponse de Trezor suite au hack
Trezor a déjà lancé sa version 1.5.2 de son firmware pour résoudre les problèmes de sécurité et éliminer les vulnérabilités connus. Avec cette nouvelle version, l’entreprise a affirmé qu’il serait dorénavant pratiquement impossible d’accéder à la seed d’un utilisateur. La société met néanmoins en garde ses clients et leur conseil de toujours mettre à jour le firmware dès que les mises à jour sont disponibles.
Nous tenons a vous rappeler notre présentation du ledger, un portefeuille cold storage fabriqué en France qui pour l’instant n’a jamais été compromis.
Upvotez nous sur Steemit : @Journalducoin & suivez nous sur facebook : @lejournalducoin
Pour soutenir le JDC, utilisez nos liens partenaires : Coinbase (10$ offert), Changelly (pas d’inscription ni de vérification d’identité), Ledger Wallet (coffre fort crypto).
