La billetera móvil de criptomonedas Edge ha anunciado un incidente de seguridad en el que se han filtrado unas 2000 claves privadas. La compañía ha instado a los usuarios a actualizar a la última versión de Edge Wallet a medida que avanzan en sus investigaciones.
En una aviso urgente el 22 de febrero, Edge descubrió una vulnerabilidad en la aplicación que filtraría claves privadas.
Debido a la visibilidad de las claves en el servidor de registros de Edge, la vulnerabilidad comprometió aproximadamente 2000 claves privadas al enviarlas a la infraestructura de Edge.
Según Edge, esto equivale a menos del 0.01 % del número total aproximado de claves creadas en la plataforma.
Sin embargo, la compañía confirmó que los servidores de registro de Edge no se habían visto comprometidos y que los fondos de los usuarios aún están intactos.
“Una verificación al azar de varias docenas de claves privadas muestra que a muchas todavía les quedan fondos. A través de esto, nos aseguramos de que no ha habido un compromiso generalizado de la infraestructura Edge que hubiera comprometido la gran mayoría de los fondos en tales claves”.
Comunicado de prensa de borde
Edge dijo que el ataque ocurrió el 20 de febrero y que el personal fue alertado por un usuario que experimentó una transacción no autorizada que robó fondos de su billetera Bitcoin. El atacante solo robó bitcoin (BTC) y dejó otros bienes.
Dado que Edge usa claves privadas maestras individuales para cada billetera, la compañía determinó que solo se comprometió la clave privada de su billetera bitcoin y no la cuenta del usuario.
Edge declaró además que recibieron solo unas pocas quejas de usuarios que faltaban fondos, por un monto bajo de 5 cifras en USD, lo que indica que el incidente puede haber sido un ataque dirigido a los usuarios.
El equipo descubrió algunas acciones que podrían haber provocado una vulnerabilidad en las claves privadas. La primera era si un usuario seleccionaba opciones específicas en las pestañas de compra y venta, lo que habría resultado en el registro de la cuenta encriptada de la billetera. llave privada en el disco del dispositivo.
La segunda era si los usuarios utilizaban la función de carga de registros, que enviaría los registros a los servidores Edge, incluida la clave privada, si se seleccionaban las opciones de compra y venta.
“Continuamos con la investigación, incluido el análisis forense profundo del dispositivo, para determinar si el malware pudo haber tenido acceso a las claves privadas sin cifrar en el disco”.
Comunicado de prensa de borde
Desde entonces, la compañía ha instado a los usuarios a actualizar su última versión de Edge (v3.3.1), que está disponible en Google Play Store, App Store y una descarga directa en su página web.
La nueva versión, dijeron, corrige todas las vulnerabilidades conocidas relacionadas con las claves privadas de la billetera y elimina inmediatamente todos los registros anteriores del disco.
Fuente: https://crypto.news/edge-wallet-security-vulnerability-leaks-2000-private-keys/