时间:2022-11-26 12:07 / 来源:未知
区块链钱包漏洞可窃取加密货币Check Point商酌职员正在Everscale区块链钱包中发掘安静缺陷，可能盗取用户加密钱币。
Ever Surf是一个跨平台的音问运用，一个区块链浏览器，也是Everscale区块链的加密钱币钱包。运用React Native开采框架编写，同时上传到了Google Play Market和Apple Store运用商场。同时，另有一个可运转正在大肆平台的Ever Surf web版本。
Surf钱包顶用于对交往举行署名的密钥只保留正在用户开发上。通盘对区块链的操作都是正在客户端来实行的。于是，与其他非托管钱包相同，无需注册流程。
用户初次运转运用时，会被倡导创修一个新的钱包。Surf会天生一个seed词组和公私钥对。其它，用户会被条件创修一个6位数字的PIN码：
然后该PIN码被用于登入运用和确认交往。Surf有应对暴力破解PIN码的回护机制：
纵然没有这类回护机制，创修的密钥和seed 词组都保留正在浏览器的当地存储中。当地存储是运用localstorage特性从JS探访的key-value存储，譬喻：
当地存储正在web浏览器中并不是受回护的。譬喻，正在Firefox中当地存储以非加密的SQLite数据库的形状存储：
其它，当地存储还可能被浏览器扩展探访，然后浏览器扩展可能走漏保留的数据。商酌职员创修了一个简易的Chrome web扩展实行了该效力：
装配该扩展后，翻开Surf网站后，就可能看到蕴涵加密的keystone的音问：
由于驾驭用户钱包的数据是保留正在用户筹划机上的，于是对用户资金的独一回护便是强加密。
Checkpoint商酌职员从新实行了nodeJS的密钥派生和keystore解密，并对PIN码实行了暴力破解攻击。正在4核Intel i7解决器上每秒钟可能破解95个暗号。固然效力不高，可是足以对6位PIN码建议攻击了。正在最坏环境下，检讨10^6个或许的外中只需求175分钟。
商酌职员正在测试中，正在Surf中创修了一个新的密钥，并从浏览器的当地存储上复制出了keystore：
攻击流程只花费了38分钟。最终告捷取得了派生密钥，并解密了seed词组，可能用于复兴另一个开发上的密钥。
Checkpoint商酌职员将该缺陷提交给了 Ever Surf 开采者，开采团队通过宣布桌面版的式样修复了该缺陷。目前，该web版本只用于开采用处。账户的seed词组不正在Ever Surf web版中运用。
