Биткойн-банкоматы имеют серьезные нарушения безопасности, говорится в исследовании — Антивирусы и безопасность

Биткойн-банкоматы имеют серьезные нарушения безопасности, говорится в исследовании — Антивирусы и безопасность

Банкоматы для биткоина (BTC) и других криптовалют начали широко внедряться в таких странах, как США. Там, на заправках, в барах и торговых центрах уже есть такие автоматы, позволяющие покупать и конвертировать криптовалюту в доллары. Однако новое исследование, проведенное учеными из Kraken, выявило ряд серьезных брешей в системе безопасности, которые делают эти машины уязвимыми для хакерских атак.

Биткоин-банкомат модели General Bytes BATMtwo или GBBATM2 (Изображение: Disclosure/ Kraken)

Оцененная модель представляет собой 23% всех боксов BTC

По данным сайта howmanybitcoinatms.com, в США насчитывается около 42 000 активных биткоин-банкоматов, что на 30% больше, чем 28 000, зарегистрированных в январе 2022 года.

Эти автоматы позволяют пользователям приобретать криптовалюты за наличные или кредитную карту, но не все аппараты дают возможность снять определенную сумму в BTC, конвертированную в доллары. Любой из этих процессов затрагивает конфиденциальные финансовые данные каждого пользователя и его цифрового кошелька.

Существует также риск, присущий децентрализованным сетям, таким как биткоин. Именно потому, что криптовалюта не управляется какой-либо организацией, пользователи криптовалюты имеют большую свободу, но и гораздо большую ответственность. Если возникает проблема с транзакцией или хакер взламывает ваш цифровой кошелек, нет организации, ответственной за валюту, которая могла бы помочь.

Эти банкоматы также были созданы с учетом специфической аудитории – людей, которые предпочитают хранить свои деньги в криптовалютах, а не в фиатных валютах, доверенных традиционным банкам. Как правило, этот профиль пользователей также высоко ценит конфиденциальность своих операций и финансовую свободу.

Биткоин и доллар США (Изображение: David McBee/Pexels)

Тем не менее, проблемы безопасности, обнаруженные исследователями на бирже цифровых активов Kraken, вызывают еще большую тревогу. Отчет, опубликованный в прошлую среду (29), свидетельствует о наличии ряда программных и аппаратных недостатков в модели биткоин-банкомата General Bytes BATMtwo (GBBATM2).

По оценкам мониторингового сайта Coin ATM Radar, производитель поставил почти 23% всех криптовалютных банкоматов, представленных в мире, при этом его доминирование в США составляет 18,5%, а в Европе – 65,4%.

Банкоматы имеют « критические уязвимости »

Многие устройства GBBATM2 были установлены без изменения QR-кода администратора по умолчанию, который служит в качестве пароля, что означает, что любой, кто получит этот код, сможет получить контроль над машинами. Другие проблемы, обнаруженные Kraken, включают отсутствие механизмов безопасной загрузки, что означает, что хакер может « обмануть » один из этих банкоматов и запустить вредоносный код, чтобы использовать « критические уязвимости » в системе управления машиной.

Основная проблема будет связана со стандартным QR-кодом, который, по словам исследователей, используется между устройствами одной модели. Когда владелец получает бокс GBBATM2, он получает инструкцию по настройке машины с помощью QR-кода, эквивалентного « административному ключу ». Затем необходимо установить еще один QR-код, содержащий пароль, отдельно для каждого банкомата в внутренней системе.

Недостатки в системе безопасности биткоин-банкомата облегчают хакерские вторжения (изображение: Darwin Laganzon/Pixabay)

Однако исследователи из Kraken обнаружили, что код административного ключа все еще может быть доступен при просмотре системы. Они определили, что машины сохраняют этот код в заводских настройках при покупке и обзоре нескольких единиц этой модели.

Это означает, что любой человек, знающий об уязвимости, может получить контроль над GBBATM2 с кодом по умолчанию « через интерфейс администрирования, просто изменив адрес сервера управления банкоматом », – говорится в отчете исследователей.

Модель GBBATM2 имеет недостатки физической безопасности

Есть и физические недостатки машины. Оборудование и все другие внутренние элементы банкомата хранятся в « одном отсеке, который защищен одним трубчатым замком ». Кроме того, модель GBBATM2 не оснащена локальной или серверной сигнализацией, предупреждающей о том, что она была открыта.

Биткоин-банкоматы могут быть вскрыты и не имеют сигнализации (Изображение: Eduardo Soares/ Unsplash)

Согласно отчету, это широкий недостаток безопасности и особенно проблематично, поскольку существует несколько физических ключей к этим замкам, так как кому-то нужно открыть машину, чтобы пополнить или извлечь долларовые купюры. Таким образом, любой человек, владеющий этим ключом, мог получить доступ и скомпрометировать внутренние компоненты и периферийные устройства, такие как камера и считыватель отпечатков пальцев.

Наконец, система на базе Android, используемая кассирами GBBATM2, не имеет протоколов безопасности:

« Мы обнаружили, что, подключив USB-клавиатуру к банкомату, можно получить прямой доступ к полному пользовательскому интерфейсу Android, что позволяет любому устанавливать приложения, копировать файлы или осуществлять другие вредоносные действия (например, пересылать закрытые ключи) ».

Kraken рекомендует всем, кто пользуется биткоин-банкоматами, проводить транзакции в надежных местах, защищенных камерами наблюдения. В отчете говорится, что компания General Bytes обновила свой бэкэнд после того, как ей стало известно об уязвимостях в апреле 2022 года, и операторам следует установить последние версии программного обеспечения, хотя некоторые из выявленных недостатков могут быть устранены только с помощью обновления оборудования.