Дослідники виявили критичну вразливість у біткоїн-банкоматів – ForkLog UA
Компанія Lamassu Industries усунула вразливість у своїх біткоїн-банкоматах, яка надавала зловмисникам повний контроль над пристроями. Про це повідомляє Cointelegraph.
Дослідники з безпеки з IOActive спробували зламати ATM, випущені Lamassu. У результаті їм вдалося виявити кілька серйозних проблем.
Зламаний біткоїн-ATM. Джерело: IOActive.
Технічний директор аналітичної фірми Гюнтер Оллман заявив, що за допомогою уразливості зловмисники отримували можливість «переглядати та маніпулювати взаємодією з банкоматом». Захопивши контроль над пристроєм, хакери могли вкрасти біткоїни жертв.
«Досвідчений зловмисник за достатньої підготовки може змінити або замінити весь користувацький інтерфейс банкомата і за допомогою соціальної інженерії змусити користувача виконати додаткові дії», — пояснив Оллман.
Крім того, злочинці могли обманом змусити жертву ввести дані свого банківського рахунку, натомість обіцяючи знижку або безплатні монети.
За словами Оллмана, банкомати зламують аж до рівнів операційної системи. Сам масштаб атаки обмежується тільки тим, наскільки користувач довіряє пристрою або його виробнику.
Директор з апаратної безпеки компанії Габріель Гонсалес додав, що, крім крадіжки цифрових активів, уразливість загрожує «зливом» усієї готівки в банкоматі. Хакер також може «обдурити зчитувач банкнот», змусивши пристрій відображати велику суму внесених грошей.
Уразливість розкрили на початку 2024 року, поінформувавши постачальників і користувачів банкоматів. Lamassu вже внесла зміни в програмне забезпечення своїх пристроїв.
Нагадаємо, у листопаді 2023 року невідоме хакерське угруповання викрало 70 000 селфі та конфіденційні дані 300 000 клієнтів біткоїн-банкоматів Coin Cloud.
При цьому компанія подала заяву про банкрутство ще в лютому, пославшись на «труднощі в бізнесі та юридичні проблеми». Її зобов’язання перед ~10 000 контрагентами оцінюються в діапазоні від $100 млн до $500 млн.