Firmware des Trezor One ließ Seed im RAM, auslesbar bei physischem Zugriff

Im August 2017 veröffentlichte SatoshiLabs die Trezor-One-Firmware 1.5.2, um eine Schwachstelle zu beheben, die über das Responsible-Disclosure-Programm gemeldet worden war. Laut der Zusammenfassung des Offenlegungsablaufs durch EtherWorld wurde der Fehler am 1. August 2017 gemeldet und betraf alle Geräte mit einer Firmware älter als 1.5.2; die korrigierte Firmware erschien am 16. August. Saleem Rashid veröffentlichte am 17. August eine unabhängige Analyse des Problems.

Rashid beschreibt, dass der Angriff physischen Zugriff auf ein geöffnetes Gerät erfordert: Wird der Mikrocontroller zurückgesetzt, ohne die Stromversorgung zu trennen, bleibt der RAM-Inhalt erhalten, weil der alte Bootloader beim Start nicht den gesamten RAM löschte, und eine anschließend aufgespielte eigene Firmware kann die Geheimnisse der Wallet von einer bekannten Speicheradresse auslesen. Er weist darauf hin, dass eine BIP39-Passphrase nicht auf dem Gerät gespeichert wird, sodass eine durch Passphrase geschützte Wallet nicht offengelegt wird. Firmware 1.5.2 verlagert geheime Daten in einen RAM-Bereich, den der Bootloader überschreibt, und laut Rashid ist 1.5.2 weder für diesen Exploit noch für eine Variante davon anfällig.

SatoshiLabs veröffentlichte am 18. August 2017 einen eigenen Bericht – nach eigenen Angaben früher als geplant, wegen Falschinformationen über das Update. Das Unternehmen bestätigt den Ablauf (gemeldet am 1. August, Firmware 1.5.2 am 16. August veröffentlicht), beschreibt den Angriff als einen, der physischen Zugriff auf ein zerlegtes Gerät erfordert, und erklärt, dass ein anonymer Artikel, der behauptete, Trezor sei gehackt worden, einen Angriffsweg beschrieb, den 1.5.2 bereits geschlossen hatte. Trezor ergänzt, dass neue Geräte einen Bootloader erhielten, der den gesamten RAM löscht, dass ein Downgrade unter 1.5.2 den Speicher löscht und dass alle auf Trezors Design basierenden Geräte potenziell anfällig waren, weshalb es andere Hersteller von Hardware-Wallets informierte. Im Januar 2022 nutzte Joe Grand einen Voltage-Glitching-Angriff, um die vergessene PIN eines Trezor One mit älterer Firmware wiederherzustellen, auf dem sich laut Decrypt und Cointelegraph PIN und Schlüssel im RAM befanden. Trezor entgegnete, es handle sich um einen veralteten Exploit, der für heutige Nutzer kein Problem darstelle, 2017 nach einer Meldung über Responsible Disclosure behoben worden sei und vollständigen physischen Zugriff auf das Gerät erfordere.