Ledger encontra falhas de segurança nos modelos Trezor Safe 3 e Safe 5

As mais recentes carteiras de hardware da Trezor, a Safe 3 e a Safe 5, têm alguns sérios problemas de segurança, de acordo com um relatório da Ledger lançado em 12 de março.

O relatório disse que sua equipe de pesquisa de segurança, a Ledger Donjon, encontrou muitas vulnerabilidades em seus microcontroladores que poderiam permitir que hackers obtivessem acesso remoto aos fundos dos usuários.

As falhas ocorrem apesar da atualização da Trezor para um design de dois chips que inclui um Elemento Seguro certificado EAL6+. Embora o Elemento Seguro proteja os PINs e as chaves privadas, o relatório da Ledger revela que todas as operações criptográficas ainda são realizadas no microcontrolador, que é vulnerável a ataques de falhas de tensão.

Se explorado, um atacante poderia extrair segredos criptográficos, modificar o firmware e contornar as verificações de segurança, deixando os fundos dos usuários em risco.

O novo design de segurança da Trezor falha em proteger operações críticas

A Trezor lançou a Safe 3 no final de 2023, seguida pela Safe 5 em meados de 2024, e ambas as carteiras introduziram um design atualizado de dois chips, em esforços para se afastar da arquitetura de chip único usada em modelos mais antigos da Trezor.

A atualização também adicionou um Elemento Seguro Optiga Trust M da Infineon, que será um chip de segurança dedicado para armazenar PINs e segredos criptográficos.

De acordo com as descobertas da Ledger, este Elemento Seguro impede o acesso a dados sensíveis a menos que o PIN correto seja inserido. Ele também bloqueia ataques de hardware, como falhas de tensão, que anteriormente eram usados para extrair frases semente de modelos como o Trezor One e o Trezor T.

Mas, apesar dessas melhorias, a pesquisa da Ledger Donjon mostra que as principais funções criptográficas, incluindo a assinatura de transações, ainda ocorrem no microcontrolador, que permanece uma grande fraqueza de segurança.

O microcontrolador usado na Safe 3 e na Safe 5 é rotulado como TRZ32F429, que na verdade é um chip STM32F429 embalado de forma personalizada.

Este chip tem vulnerabilidades conhecidas, especificamente explorações de falhas de tensão que permitem aos atacantes obter acesso total de leitura/escrita à memória flash.

Uma vez que um atacante modifica o firmware, ele poderia manipular a geração de entropia, que desempenha um papel fundamental na segurança criptográfica. Isso poderia levar ao roubo remoto de chaves privadas, dando aos hackers acesso completo aos fundos dos usuários.

Sistema de autenticação falha em verificar a integridade do microcontrolador

A Trezor usa autenticação criptográfica para verificar seus dispositivos, mas a Ledger Donjon descobriu que esse sistema não verifica o firmware do microcontrolador.

O Elemento Seguro Optiga Trust M gera um par de chaves pública-privada durante a produção, e a Trezor assina a chave pública, incorporando-a em um certificado. Quando um usuário conecta sua carteira, o Trezor Suite envia um desafio aleatório que o dispositivo deve assinar usando sua chave privada. Se a assinatura for válida, o dispositivo é considerado autêntico.

Mas a pesquisa da Ledger mostra que esse processo verifica apenas o Elemento Seguro, não o microcontrolador ou seu firmware.

A Trezor tentou vincular o Elemento Seguro e o microcontrolador usando um segredo pré-compartilhado, que é programado em ambos os chips durante a fabricação. O Elemento Seguro só responderá às solicitações de assinatura se o microcontrolador provar o conhecimento desse segredo.

O problema? Este segredo pré-compartilhado é armazenado na memória flash do microcontrolador, que é vulnerável a ataques de falhas de tensão.

A equipe da Ledger conseguiu extrair o segredo, reprogramar o chip e contornar completamente o processo de autenticação. Isso significa que um atacante poderia modificar o firmware enquanto ainda passasse nas verificações de segurança da Trezor.

O relatório da Ledger descreve como eles construíram uma placa de ataque personalizada, que permitiu que eles expusessem os pads do TRZ32F429 em cabeçotes padrão.

Esta configuração permite que eles montem o microcontrolador em seu sistema de ataque, extraiam o segredo pré-compartilhado e reprogramem o dispositivo sem detecção.

Uma vez reprogramado, o dispositivo ainda pareceria legítimo quando conectado ao Trezor Suite, já que o sistema de atestação criptográfica permanece inalterado.

Isso cria uma situação perigosa, onde carteiras Trezor Safe 3 e Safe 5 comprometidas poderiam ser vendidas como dispositivos genuínos, enquanto secretamente executam um firmware malicioso que rouba os fundos dos usuários.

A validação do firmware é contornada, deixando os usuários expostos

A Trezor inclui uma verificação de integridade do firmware no Trezor Suite, mas a Ledger Donjon encontrou uma maneira de contornar completamente essa proteção.

A verificação do firmware funciona enviando um desafio aleatório ao dispositivo, que então calcula um hash criptográfico usando tanto o desafio quanto seu firmware. O Trezor Suite verifica este hash contra um banco de dados de versões de firmware genuínas.

À primeira vista, esse método parece bastante eficaz – um atacante não pode apenas codificar um hash falso porque não saberia o desafio aleatório com antecedência, então o dispositivo deve calcular o hash em tempo real, provando que está executando o firmware genuíno.

No entanto, a Ledger Donjon descobriu uma maneira de contornar completamente essa proteção. Como o microcontrolador lida com esse cálculo, um atacante pode modificar seu firmware para simular uma resposta válida.

Ao manipular a maneira como o dispositivo calcula o hash, o atacante pode fazer qualquer versão de firmware parecer autêntica. Este é um problema sério porque permite que os atacantes executem software modificado enquanto ainda passam nas verificações de verificação do Trezor Suite.

Como resultado, uma Trezor Safe 3 ou Safe 5 comprometida ainda pode parecer legítima enquanto secretamente vaza chaves privadas ou altera dados de transação.

O relatório da Ledger conclui que a única maneira de garantir totalmente a Safe 3 e a Safe 5 seria substituir o microcontrolador por uma alternativa mais segura. A Trezor Safe 5 inclui um microcontrolador mais moderno, o STM32U5, que não tem ataques de injeção de falhas conhecidos publicamente – pelo menos por enquanto.

Mas, como ainda é um microcontrolador padrão, e não um Elemento Seguro dedicado, o risco permanece de que novos métodos de ataque possam ser descobertos.

A Trezor já corrigiu as vulnerabilidades, mas as preocupações subjacentes de segurança permanecem. Até que o microcontrolador em si seja totalmente protegido, os usuários terão que confiar nas proteções de software da Trezor, cuja pesquisa da Ledger Donjon já provou que pode ser contornada.