Tuần trước, John McAfee đã trao thưởng 100.000 USD cho bất kỳ ai có thể hack được ví Bitfi – một thiết bị được quảng cáo là ví tiền điện tử hoàn toàn “bất khả xâm phạm” đầu tiên trên thế giới.
- Bitfi và McAfee công bố ví tiền điện tử “bất khả xâm phạm”
- Khảo sát: Chỉ 5% người Anh có lời từ đầu tư tiền điện tử
- Coin68 Blog: Pincoin đổ vốn vào Tron – Nhà đầu tư nên cẩn trọng
Vẻ ngoài của ví tiền điện tử Bitfi Bitfi thậm chí còn yêu cầu công khai quá trình đó. Điều thú vị là, khi một nhóm hackers và các nhà nghiên cứu bảo mật chấp nhận thử thách, họ đã tìm thấy một loạt các vấn đề khiến tiêu chuẩn an ninh của thiết bị này bị nghi ngờ.
Trong khi vẫn chưa ai giành được phần thưởng trị giá 100.000 USD với việc lấy cắp số tiền điện tử trị giá 50 USD bên trong, những người này đã tiếp cận theo một cách hoàn toàn khác: tháo banh nó ra. Ryan Castellucci, kỹ sư phần mềm, nhận xét rằng Bitfi dường như chính xác đến mức trần trụi nhưng những gì nó được quảng cáo – một chiếc điện thoại Android giá rẻ bị cắt đầu bẻ đuôi.
Bitfi appears to be exactly what it looks like from the photos – a cheap stripped down Android phone. There's some screenshots of it demanding to be connected to WiFi in order to function elsewhere in @cybergibbons's feed. Someone will probably have Doom running on it by Friday. https://t.co/cC1pZsahJH
— Ryan Castellucci ???? (@ryancdotorg) July 29, 2018
‘Bitfi có vẻ chính xác như hình ảnh quảng cáo của nó – một chiếc điện thoại Android giá rẻ. Có một số ảnh chụp màn hình của nó đòi hỏi phải được kết nối với WiFi để hoạt động ở nơi khác trong nguồn cấp dữ liệu của @cybergibbons.’
Các nhà nghiên cứu đã tải lên một danh sách đầy đủ các thư mục được nạp vào bộ nhớ của nó (ROM) khi thiết bị được bật. Được công bố công khai thông qua Pastebin, chúng cho thấy một cái nhìn tổng quan những cài đặt mặc định trên Bitfi.
Điều khó hiểu nhất là sự có mặt của một bộ phần mềm độc hại nổi tiếng với cái tên Adups FOTA, một nền tảng phần mềm gián điệp cho đánh cắp dữ liệu, cuộc gọi, vị trí và dữ liệu ứng dụng đến máy chủ ở Trung Quốc 72 giờ một lần.
Một phần mềm lậu khác là ứng dụng Baidu đến từ Trung Quốc. Nó có tích hợp chức năng theo dõi WiFi và GPS – điều này làm cho thiết bị này trở nên hoàn hảo cho những ai yêu thích “sự riêng tư tuyệt đối”.
Cũng không có kho chứa lạnh bên trong, tất cả các khoản tiền dường như được lưu giữ trong “ví nóng”. Đây chính là phương pháp lưu trữ tiền điện tử chịu trách nhiệm cho vụ lộn xộn của CoinCheck hồi đầu năm nay.
Xem thêm: [CỰC NÓNG] – Vụ hack lớn nhất lịch sử, sàn Coincheck bị đánh cắp 530 triệu USD quỹ NEM
McAfee, cố vấn của Bitfi, khẳng định cái gọi là “chiếc ví” này thực sự là một thiết bị giống như điện thoại di động giá rẻ. “Không có bộ nhớ trong,” McAfee cho biết. “Chiếc ví sẽ nhận hướng dẫn của nó cho mỗi coins từ các máy chủ của chúng tôi.”
Tính bảo mật của Bitfi dựa trên khả năng giữ tất cả các khóa bí mật và các cụm từ riêng tư an toàn – vì vậy sự thật của chiếc ví “không thể tấn công” này, về mặt kỹ thuật cũng giống như bất kỳ giải pháp ví trực tuyến nào khác.
Điều đáng báo động nhất là có vẻ như FOTA Adups và Baidu đang hoạt động và đang truyền tải thông tin trên những thiết bị này.
At least the Baidu and Adups apps are indeed actively running on the device, including calling home to Baidu and Adups.
The rest of the system/vendor partitions include drivers for removed devices like the camera, tcpdump, adbd and several other debugging binaries.
2/2— OverSoft (@OverSoftNL) July 30, 2018
“Hầu hết phần mềm trông giống như một chiếc điện thoại MediaTek bình thường, bao gồm:
– Trình theo dõi GPS / WIFI của Baidu
– Bộ phần mềm độc hại Adups FOTA nổi tiếng
– Toàn bộ thư viện Mediatek của các ứng dụng mẫu
– Trình theo dõi, có khả năng ghi lại tất cả hoạt động trên thiết bị
Ít nhất các ứng dụng Baidu và Adups thực sự đang hoạt động rất tích cực trên thiết bị này, bao gồm cả gọi điện về nhà cho Baidu và Adups.
Phần còn lại của hệ thống / nhà cung cấp bao gồm các trình điều khiển cho các thiết bị đã bị xóa như máy ảnh, tcpdump, adbd và một số tệp nhị phân gỡ lỗi khác.”
Chúng tôi đã liên hệ với một trong những nhà nghiên cứu, Cybergibbons, một chuyên gia tư vấn bảo mật cho một công ty hackẻ mũ trắng. Ông đã trả lời rằng họ đã truy cập dữ liệu thông qua một chipset Mediatek được thiết bị sử dụng. Chip này, một chip eMMC 8GB, tải các thư viện vào bộ nhớ trong (ROM) khi khởi động để hỗ trợ việc chạy các ứng dụng.
“Các thiết bị đang sử dụng một chipset Mediatek,” nhà nghiên cứu cho biết. “Thường thì trường hợp các chipset này sẽ chạy một bộ nạp Mediatek trong vài giây đầu tiên khi chúng khởi động. Điều này có thể được tương tác với qua USB. ”
Nhóm đã sử dụng một công cụ miễn phí, SP Flash Tool, để truy cập dữ liệu và đọc nó mà không gặp khó khăn gì. Cybergband đã miêu tả sơ qua quá trình trên Twitter:
“Vấn đề là họ dường như không chịu thu nhỏ thiết bị, đó là những gì mà họ cần làm”, Cyberglip nói thêm. “Tất cả các công cụ bổ sung này khiến bạn có nguy cơ bị theo dõi, truy dấu và gặp phải các cuộc tấn công mạng khác.”
Tóm lại thì, trong trường hợp này, đáng lẽ ra nên loại bỏ phần mềm bloatware và các công cụ phần mềm độc hại. Thay vào đó, chúng ta lại phát hiện ra Bitfi vừa sản xuất ra một loạt các điện thoại Android và bán chúng làm ví mà không quan tâm đến việc bảo vệ dữ liệu nhạy cảm của người dùng.
Ông tiếp tục làm rõ rằng bây giờ họ tin rằng hệ thống tập tin của Bitfi là chỉ đọc, có nghĩa là bất kỳ dữ liệu được lưu trữ trên thiết bị không thể được ghi đè. Nếu các nhà nghiên cứu là chính xác, nó có nghĩa là phần mềm gián điệp có nhiều khả năng được tải trước trên ví trước khi vận chuyển – chứ không phải sau.
Chúng ta đều biết điều này có nghĩa là gì. Hiện tại đại diện Bitfi vẫn chưa đưa ra bình luận nào về vấn đề này.
Nhưng dù sao đi nữa, hãy nhớ kiếm tra kĩ trước khi đặt tiền của bạn vào bất cứ đâu. Không gì là bất khả xâm phạm!
Theo TheNextWeb
