Un pirate récupère 2.5 millions de dollars d'un portefeuille matériel "non piratable"

La perte de vos clés cryptographiques s'apparente à un coup de poing soudain au plexus solaire, quelque chose qu'aucun détenteur de crypto ne veut jamais vivre. Une fois qu'un code PIN a été perdu, l'accès à votre portefeuille crypto est pratiquement impossible. C'est ce que pensait Dan Reich jusqu'à ce qu'il engage un pirate informatique pour pirater son portefeuille matériel afin d'accéder à 2.5 millions de dollars qui sont restés intacts pendant des années. 

En 2018, l'entrepreneur Dan Reich et un ami ont dépensé 50,000 0.21 $ en bitcoins pour acheter des jetons Theta qui valaient 12 $ à l'époque. Après avoir égaré la broche de sécurité d'un portefeuille matériel Trezor One et 2021 tentatives infructueuses de connexion, la paire s'est rendu compte qu'elle avait effectivement perdu tous les actifs cryptographiques de ce portefeuille. Avance rapide jusqu'en XNUMX lorsque le prix du THETA a atteint un niveau record et que Dan Reich a décidé d'emprunter une voie non conventionnelle pour récupérer sa crypto. 

A vidéo intitulé "Comment j'ai piraté un portefeuille cryptographique matériel et récupéré 2 millions de dollars" par le pirate informatique Joe Grand décrit le voyage que Grand a entrepris pour récupérer les fonds pour Reich et son ami. Un voyage qui, à cette occasion, s'est soldé par un succès.

Bien que la perte d'une épingle puisse être dévastatrice, elle n'est en aucun cas rare. Selon Chainanalysis, on estime que 3.7 millions de Bitcoins (66.5 milliards de dollars) sont perdus et inaccessibles. Cela peut être dû à la perte physique d'un portefeuille matériel, à l'oubli par un utilisateur de son code PIN ou à la destruction du portefeuille. 

Reich et son ami ont décidé qu'ils n'abandonneraient pas les 2.5 millions de dollars en thêta qu'ils avaient précédemment abandonnés comme perdus. En contactant Joe Grand, ils ont placé leur confiance en quelqu'un qu'ils ne connaissaient pas seulement, mais qui pourrait potentiellement perdre leurs fonds pour toujours. Reich a noté dans une interview avec The Verge "S'il a foiré quelque chose, il y avait un bon coup qu'il ne pourrait jamais être récupéré".

Heureusement pour les propriétaires de ce portefeuille matériel Trezor One, Grand a pu pirater le portefeuille et récupérer leurs fonds. Le pirate a utilisé l'expérience d'un ancien pirate qui, en 2017, a développé une méthode pour pirater un portefeuille Trezor. Grand a exploité une vulnérabilité dans le portefeuille qui a placé le portefeuille en mode de mise à jour du micrologiciel, puis a installé son propre code sur l'appareil. Normalement, les portefeuilles Trezor One déplacent le code PIN et la clé vers la RAM lors d'une mise à jour du micrologiciel, qui une fois terminées, les informations reviennent au flash. Cependant, à cette occasion, le code PIN et la clé sont apparus dans la RAM de l'appareil à des stades ultérieurs, ce qui courrait le risque que Grand efface accidentellement la RAM avant de pouvoir lire les données. 

À cette occasion, Grand a pu effectuer une attaque physique sur l'appareil qui modifie la quantité de tension entrant dans la puce. Cela lui a permis de contourner le protocole de sécurité du portefeuille pour empêcher les pirates de lire la RAM et enfin d'accéder à la broche et de rendre les jetons Theta à Reich et à son ami.

Trezor n'a pas tardé à répondre à cet exploit, notant qu'il s'agit d'un problème de sécurité obsolète qui n'affecte plus les nouveaux portefeuilles Trezor :

"Nous voulons juste ajouter qu'il s'agit d'un exploit obsolète qui ne concerne pas les utilisateurs actuels et que nous avons corrigé en 2017 juste après un rapport que nous avons reçu via notre programme de divulgation responsable", 

La tentative de piratage s'est peut-être terminée avec succès pour le couple d'entrepreneurs, mais la probabilité de pouvoir répéter la magnifique reprise est discutable. Néanmoins, cela peut donner de l'espoir à d'autres qui ont également perdu l'accès à leurs fonds cryptographiques. 

Avertissement: cet article est fourni à titre informatif uniquement. Il n'est ni proposé ni destiné à être utilisé comme conseil juridique, fiscal, d'investissement, financier ou autre.