MyCrypto ujawnia lukę w generowaniu kluczy na WalletGenerator.net

24 maja bieżącego roku Harry Denley z MyCrypto opisał na Medium lukę w generowaniu kluczy znalezioną na WalletGenerator.net. W artykule badacz bezpieczeństwa zaleca wszystkim osobom, które wygenerowały klucze prywatne po 17 sierpnia 2018 roku, przenieść środki na bezpieczny adres.

Z wydanego komunikatu dowiadujemy się, iż nastąpiły zmiany w kodzie obsługiwanym przez WalletGenerator.net, w wyniku czego do użytkowników dostarczone zostały zduplikowane pary kluczy. Dochodzenie wykazało, że proces ten ciągnął się od 17 sierpnia 2018 roku po 22 maja bieżącego roku (23 maja kod został poprawiony). Pomimo iż złośliwe zachowanie nie jest obecnie wykrywalne, autor artykułu zaznacza, że może ono się powtórzyć w dowolnym momencie, dlatego też dla własnego bezpieczeństwa warto przenieść swoje środki na nowy adres. Dotyczy to wszystkich użytkowników, którzy wygenerowali pary kluczy po 17 sierpnia 2018 roku.

Czym jest WalletGenerator.net?

WalletGenerator to strona internetowa służąca do generowania portfeli papierowych dla kilku różnych kryptowalut. Jak wynika z podanych informacji, zmieniła ona swojego właściciela około dwóch lat temu. Denley twierdzi, iż kod podany do WalletGenerator.net miał mieć charakter opensource i pasować do kodu GitHub (https://github.com/walletgeneratornet/WalletGenerator.net), jednak tak nie było. Badacz bezpieczeństwa podkreśla, iż nie wiadomo, czy owe zmiany mają związek z nowym właścicielem, czy wiąże się to z naruszeniem przez jakiś podmiot zewnętrzny.

Kwestie pod znakiem zapytania

Denley oznajmił również, iż nie odkryto, jak generowany jest złośliwy obraz oraz jakie dane są dodawane i czy są one losowe. Nie wiadomo również, co decydowało o tym, czy użytkownik otrzyma złośliwą wersję witryny. Pod znakiem zapytania znalazła się również wspomniana wyżej kwestia tego, kto stoi za zamianami w kodzie, czy jest to obecny właściciel witryny, a może złośliwa strona, która uzyskała dostęp do serwera? Zobacz również: UWAGA na fałszywe aplikacje kryptowalutowe w Google Play!