Kraken: CoolWallet-S-App legte Seed, PIN und Pairing-Passwort offen

Am 3. April 2020 veröffentlichten die Kraken Security Labs Ergebnisse zur CoolWallet S, der Bluetooth-Wallet im Kartenformat von CoolBitX (nicht in unserem Katalog), und zu ihrer Android-Begleit-App. Kraken gibt an, CoolBitX am 2. Januar 2020 alle Details offengelegt zu haben.

Kraken berichtet, dass die PIN-Prüfung in der Smartphone-App statt auf der Karte stattfindet und dass die Android-App die App-Lock-PIN im Klartext speicherte, PIN, Pairing-Passwort und auf dem Smartphone erzeugte Seeds in das Systemprotokoll schrieb, Bildschirmaufnahmen der Seed-, PIN- und Pairing-Bildschirme nicht unterband und das Überspringen des Sperrbildschirms per adb zuließ. Laut Kraken kann ein Angreifer, der das Smartphone kontrolliert (durch Diebstahl oder Malware), genug Informationen erlangen, um die gekoppelte Wallet zu leeren, und ein Angreifer, der die Karte und das Pairing-Passwort besitzt, kann sie mit einem anderen Smartphone koppeln und ohne PIN auf das Guthaben zugreifen. Kraken merkt außerdem an, dass Transaktionen per Tastendruck ohne PIN bestätigt werden und die Zieladresse standardmäßig nicht auf der Karte angezeigt wird.

In seiner Antwort vom selben Tag erklärt CoolWallet, das Risiko sei begrenzt gewesen und habe Zugriff sowohl auf das Smartphone als auch auf die Karte erfordert. Das Unternehmen gibt an, die Protokollierung sensibler Daten deaktiviert, Screenshots und Bildschirmaufnahmen während der Seed-Erzeugung und PIN-Eingabe blockiert, die Löschung sensibler Daten aus dem Speicher geändert, die adb-Umgehung geschlossen und ein App-Lock-Timeout von 10 Sekunden eingeführt zu haben. CoolWallet widerspricht Kraken in der Frage, ob die Karte zusammen mit dem gekoppelten Smartphone mitgeführt wird, und erklärt, dass die Freigabe von Transaktionen auf der biometrischen Prüfung des Smartphones beruht. Keiner der Beiträge nennt die App-Version mit den Korrekturen; Kraken merkt an, dass die Probleme mit Seeds auf dem Smartphone behoben wurden, und nennt 1.11.592 als zum Zeitpunkt der Veröffentlichung aktuelle Version der Android-App.

Was CoolWallet empfiehlt:

• Aktualisieren Sie auf die neueste offizielle CoolBitX-Crypto-App und erzeugen Sie den Seed auf der Karte, nicht in der App.
• Aktivieren Sie App Lock und die Anzeige vollständiger Zieladressen auf der Karte.
• Tragen Sie die Karte nicht zusammen mit dem gekoppelten Smartphone bei sich.