L’entreprise BitFi sort les RAM : même non rooté, le wallet est vulnérable

Collectionnez les articles du JDC en NFT

Collecter cet article

Saleem Rashid a encore frappé, BitFi se retrouve en fâcheuse posture – Et c’est encore un (énième) rebondissement concernant le hardware wallet de BitFi. Vous avez pu tout récemment lire dans nos colonnes les interviews respectives de Bill Powel, vice-président des opérations de BitFi, et d’Andrew Tierney, un des chercheurs en cybersécurité à l’origine du signalement de failles de sécurité critiques. C’est aujourd’hui une autre connaissance des fabricants de hardware wallets qui se joint à la fête, à savoir Saleem Rashid.

Saleem Qui ?

Saleem Rashid est bien connu des fabricants de hardware wallets, comme Trezor et Ledger, notamment parce qu’il a déjà réussi par le passé à identifier des vulnérabilités importantes pour l’un comme pour l’autre. Là où certains ont du mal à le suivre, c’est qu’il a déjà été capable de mettre à mal les meilleures crypto-forteresses du haut de ses 15 ans.

Quelle vulnérabilité théorique…

Si vous avez suivi l’affaire BitFi, alors vous avez parcouru les récentes interviews sus-citées, donnant un éclairage tantôt du point de vue de BitFi tantôt du point de vue des consultants en cybersécurité qui ont donné l’alerte.

Un des points clés de ces interviews a été la question de la persistance ou non en mémoire des clés privées une fois rentrées par l’utilisateur pour ouvrir son wallet. BitFi se défendait de stocker autre chose que l’OS du Bitfi, arguant qu’aucune clé privée ne persistait en mémoire. Un peu plus tard dans l’interview cependant, M. Powel semblait reconnaître qu’il était possible qu’une clé privée Monero persiste un peu plus longtemps qu’une clé Bitcoin, ce qui a pu sembler contradictoire à certains de nos lecteurs.

M. Tierney, pour sa part, ne comprenait pas pourquoi BitFi se défendait de stocker les clés privées, alors qu’il lui apparaissait clair que c’était bien le cas, puisqu’il avait déjà réussi à extraire lesdites clés privées depuis un BitFi rooté.

Il a depuis publié une note de blog détaillant les différentes vulnérabilités du Bitfi, expliquant pourquoi il paraissait difficile d’y remédier en l’état au vu du hardware utilisé.

… mais aussi pratique.

C’est ensuite que Saleem Rashid entre en jeu, à nouveau. Alors qu’il s’était déjà permis une intervention niveau Master Troll il y a peu, en rootant le BitFi pour y jouer à Doom mobile, le voilà de retour avec une extraction à froid des clés privées, dans les règles de l’art s’il-vous-plaît.

Saleem Rashid a donc récidivé et a partagé le 30 août une vidéo où il réalise une cold boot attack, c’est-à-dire qu’il récupère des données depuis la mémoire RAM d’un appareil, laquelle ne s’efface pas instantanément.

Comme si cela ne suffisait pas, Saleem Rashid a ensuite poursuivi sur sa lancée et publié par la suite une autre vidéo, où la même attaque d’extraction de clés privées était réalisée à l’aide d’un simple téléphone Android.

La nouveauté, c’est que cette attaque est cette fois réalisée sur un BitFi non rooté, ce qui sous-entend que si l’information est vérifiée, aucun BitFi n’est sécurisé : tout attaquant qui aurait un accès physique à un BitFi ayant servi un jour pourrait être en mesure de récupérer les clés privées dudit BitFi.

Le groupe de consultants en cybersécurité dont font partie Messieurs Tierney et Rashid nous a fait parvenir un communiqué de presse, disponible ici, reprenant l’attaque en question et questionnant la politique de BitFi concernant sa publicité de « wallet inviolable » et sa gestion des bounties utilisés « à des fins purement publicitaires ».

BitFi annonce s’adapter… ou presque

BitFi a, dans la foulée de la publication de la vidéo de Saleem Rashid, publié un communiqué statuant que les bounties actuels étaient suspendus, que le terme « unhackable » ne serait plus utilisé dans leur publicité, et que des annonces plus développées seraient faites la semaine prochaine.

A nouveau contacté, Bill Powell, le vice-président des opérations de BitFi, nous a répondu que leur nouveau responsable en cybersécurité, M. Michael Garland, travaillant pour l’heure pour IBM, étudiait toutes ces nouvelles informations. Des mesures seraient effectivement annoncées la semaine prochaine.

L’entreprise se défend néanmoins d’avoir fait cette annonce suite à l’attaque réalisée par Saleem Rashid, préférant parler de “coïncidence” et justifier leur changement soudain de politique par une envie de “stopper la négativité et la colère qui se répandaient sur les réseaux sociaux”.

Ils annoncent également que “des mises à jour seront mises à disposition pour toutes les vulnérabilités qui seraient identifiées”, ce qui peut tout de même sembler aventureux au regard de la situation : en l’état actuel du hardware du BitFi, il paraît peu probable que les vulnérabilités critiques puissent réellement être simplement patchées.

Même un rappel généralisé des wallets déjà vendus pourrait poser problème : les clés privées restant stockées en mémoire RAM, les utilisateurs se mettraient à la merci de BitFi si des fonds restaient stockés sur les adresses associées.

Plus prosaïquement, la simple utilisation d’un wallet BitFi en l’état paraît à risques : un simple malware destiné à réaliser automatiquement une cold boot attack infectant votre ordinateur est probablement suffisant pour qu’un attaquant se serve dans vos précieuses cryptos, sans que vous ayez les moyens de vous en rendre compte avant qu’elles aient disparu.

McAfee se la joue Highlander

McAfee découvrant les vidéos de Saleem Rashid

McAfee, de son côté, n’a finalement pas tardé à réagir sur les réseaux sociaux, avec sa gouaille habituelle.

 

 

Apostrophant Andrew Tierney, il a annoncé lui proposer un défi : venir tous frais payés chez lui, pour tenter de récupérer 20 millions de dollars sur son wallet BitFi personnel. Si Tierney y parvient, il peut repartir avec.

Cependant, et comme vous l’avez constaté dans son interview récente, M. Tierney n’ayant a priori pas développé de forme de démence précoce, il a préféré répondre négativement à l’invitation grandiloquente de McAfee ; notamment parce que le goût pour les armes de ce dernier est connu de toute la cryptosphère.

De plus, il est à noter que Tierney avait déjà auparavant invité McAfee à sortir de sa tanière pour une session de démonstration à Londres, refusée dans les règles de l’art par l’intéressé.

Le nouveau responsable sécurité se retire après moins de 24h

Comme si la situation n’était pas assez tendue pour BitFi, nous avons également appris vendredi en fin de journée que M. Garland se retirait du projet, pour divergences d’opinions et à cause du comportement de l’équipe BitFi.

Difficile de dire en l’état en quoi consisteront les futures annonces de BitFi, maintenant que le chef d’orchestre attendu de la contre-attaque cybersécuritaire a quitté le navire.

Nous ne manquerons pas de vous tenir informés de la suite de cette « affaire BitFi », notre telenovela cryptographique de l’été, à n’en pas douter.

Source : twitter || Image from Shutterstock

Grégory Mohet-Guittard

Je fais des trucs au JDC depuis 2018. En ce moment, souvent en podcast et la tête dans le nuage.

Commentaires

Votre email ne sera pas publié. En publiant un commentaire, vous acceptez notre politique de confidentialité.


Recevez un condensé d'information chaque jour