Los hacks no suelen tener un final feliz. Afortunadamente para un inversionista de criptomonedas de Nueva York que olvidó su PIN de billetera Trezor One, un pirata informático pudo ayudarlo a recuperar más de $ 2 millones en THETA.
La historia
En 2018, Dan Reich y su amigo Jesse decidieron hacer una apuesta enfocada en una nueva criptomoneda. Ambos retiraron alrededor de $ 25,000 en BTC y compraron $ 50,000 en THETA en un momento en que se cotizaba a solo 21 centavos.
Jesse iba a tomar la custodia de THETA y las cosas iban bien hasta que se supo que China estaba tomando medidas enérgicas contra los intercambios. Esto los llevó a transferir su THETA a una alternativa más segura, una billetera de hardware Trezor One.
Luego vino el infame criptoinvierno, que vio cómo su inversión se desvanecía. Dan quería irse, pero Jesse había olvidado el PIN de Trezor One, que se autodestruiría si adivinaban el PIN incorrectamente demasiadas veces. De alguna manera, también perdió el papel con la oración inicial de 24 palabras que podría haberle devuelto la billetera.
Después de cancelar la inversión, el dúo vio que su inversión se recuperó y se disparó, eventualmente a más de $ 1 millón y en un momento llegó a $ 3 millones. Después de ponerse en contacto con varios expertos internacionales, se decidieron por un hacker de renombre, Joe “Kingpin” Grand, quien afirmó que podía ayudar.
Kingpin al rescate
Kingpin pasó la mayor parte de las 12 semanas tratando de hackear Trezor One y, en particular, encontró una manera de recuperar el PIN perdido.
Según Grand, la clave de su éxito está relacionada con la actualización del firmware de la billetera de hardware que movió temporalmente el PIN y la clave a la RAM, solo para luego volver a moverlos a flash una vez que se instaló el firmware. Para el firmware específico en la billetera de Reich, la información del PIN se almacenó en flash.
Después de usar una técnica que altera el voltaje del chip, conocida como “ataque de inyección de fallas”, Grand pasó por alto la seguridad de los microcontroladores y obtuvo el PIN necesario para acceder a la billetera y los fondos. Grande explicó:
Básicamente, nos estamos comportando mal con el chip de silicio dentro del dispositivo para vencer la seguridad. Y lo que terminó pasando es que estaba sentado aquí mirando la pantalla de la computadora y vi que logré vencer la seguridad, la información privada, la semilla de recuperación y el pin que estaba buscando apareció en la pantalla.
Joe “Kingpin” Grand, hacker
Indudablemente orgulloso de su esfuerzo, Kingpin luego creó un video en el que brinda un relato completo de cómo logró la hazaña:
A su vez, Trezor expresó su alivio de que Grand pudiera acceder a los fondos, pero señaló que la vulnerabilidad identificada ya había sido reparada:
Hola, solo queremos agregar que la vulnerabilidad ya está solucionada y todos los dispositivos nuevos se envían con un cargador de arranque fijo. Gracias a @saleemrash1d para su auditoría de seguridad. Obtenga más información sobre nuestro enfoque de seguridad y programa de divulgación responsable aquí👇https://t.co/pyV1Ya6X8b
— Trezor (@Trezor) 24 de enero de 2022
¿Cuál es la lección aquí? Recuerde su PIN de 4 dígitos (haga que sea difícil de olvidar), anote su frase inicial y guárdela en un lugar seguro, y también mantenga actualizado el firmware de su hardware. Si eres una de esas almas desafortunadas que perdieron sus criptomonedas, podría ser peor: podrías ser el tipo que todavía está buscando sus 7500 BTC.
Para los australianos que buscan mejorar su juego de seguridad criptográfica, Crypto News Australia recomienda Coinstop como su proveedor de billetera de hardware preferido. Los usuarios pueden obtener un descuento de A$5 en sus pedidos con el código CRYPTONEWS.
