Серьёзные исправления eMudhra от Big Tech могут оставить криптоботов уязвимыми, предупреждает CertiK

CertiK предупреждает о рисках уязвимости eMudhra для криптоботов

К вторнику такие технологические гиганты, как Google, Apple и Microsoft, заблокировали восемь уязвимых сертификатов, выданных индийской компанией eMudhra, однако, по словам старшего директора по безопасности цифровых активов CertiK Пейю Ванга, эти исправления могут не защитить криптоприложения, использующие отдельные системы безопасности.

«Блокировки со стороны крупных браузеров значительно снижают риск для клиентов, которые их получают и применяют», — заявил Ванг. — «Некоторые приложения вне браузерной экосистемы не применяют политику прозрачности сертификатов и не получают таких же мер по отзыву.»

Ванг подчеркнул, что криптосервисы в принципе не более подвержены этой уязвимости, чем другие отрасли, однако злоумышленники могут использовать скомпрометированные сертификаты для подделки HTTPS-соединений, которые применяются биржами, интерфейсами кошельков и API.

Нападающие могут специально притворяться криптосервисами, подменять адреса для депозитов или обманывать пользователей, заставляя их одобрять вредоносные транзакции, отметил Ванг. Для таких атак также потребуется перехват или перенаправление интернет-трафика пользователей, поскольку одни лишь скомпрометированные ключи центра сертификации не раскроют приватные ключи кошельков.

Ванг призвал операторов криптосервисов обновить программное обеспечение и хранилища доверенных сертификатов, а также убедиться, что их приложения отклоняют затронутые уязвимостью сертификаты.

В репортаже принимал участие Феликс Нг.