Fehler im Trezor Model T ermöglichte Malware, Wechselgeld an eine versteckte Multisig-Adresse umzuleiten

Am 18. November 2019 veröffentlichte Marko Bencun von Shift Cryptosecurity, dem Unternehmen hinter der Hardware-Wallet BitBox, Details zu einem Fehler bei der Überprüfung des Wechselgeld-Outputs einer Bitcoin-Transaktion durch den Trezor Model T. Er erklärt, dass Malware auf dem Computer des Nutzers das Wechselgeld unbemerkt durch einen vom Angreifer kontrollierten Output ersetzen konnte und so alle in der Transaktion ausgegebenen Mittel mit Ausnahme des gesendeten Betrags erbeuten konnte. Er berichtet, dass der Trezor One nicht betroffen war und dass er den Angriff im Bitcoin-Testnet mit einem modifizierten Electrum durchführte.

Laut dem Bericht akzeptierte der Model T einen Multisig-Wechselgeld-Output ohne Anzeige, wenn dessen Konfiguration der aller Multisig-Inputs entsprach, prüfte aber nicht, ob alle Inputs vom gleichen Typ waren. Ein Angreifer konnte daher einer gewöhnlichen Single-Signature-Transaktion einen kleinen 1-of-2-Multisig-Input hinzufügen, der gemeinsam mit dem Angreifer gehalten wird, und das Wechselgeld an diese 1-of-2-Adresse leiten, über die dann allein der Angreifer verfügen kann; durch Anpassen des Wechselgeldbetrags bleibt die angezeigte Gebühr unverändert. Trezors Sicherheitsportal beschreibt das Problem als Time-of-Check/Time-of-Use-Fehler, durch den eine präparierte Multisig-Transaktion einen Wechselgeld-Output des Angreifers enthalten konnte, den der Nutzer nie bestätigt hatte.

Trezors Sicherheitsportal führt das Problem als am 1. Oktober 2019 von Marko Bencun gemeldet, den Trezor Model T betreffend und in Firmware 2.1.8 behoben. Bencun erklärt, dass die Korrektur am 6. November 2019 veröffentlicht wurde und dass SatoshiLabs die Nutzer informierte und eine Bug-Bounty zahlte. In einem separaten Artikel über Multisig-Fallstricke bezeichnet Shift Crypto es als kritischen Fernangriff und beschreibt verwandte Probleme, die es Coldcard (behoben in Coldcard-Firmware 3.0.2) und am 4. November 2019 Ledger meldete, das antwortete, das Verhalten sei so vorgesehen.