La app de CoolWallet S filtraba semilla, PIN y contraseña de emparejamiento, según Kraken

El 3 de abril de 2020 Kraken Security Labs publicó sus hallazgos sobre la CoolWallet S, la billetera Bluetooth con formato de tarjeta de CoolBitX (no incluida en nuestro catálogo), y su aplicación complementaria para Android. Kraken dice que comunicó todos los detalles a CoolBitX el 2 de enero de 2020.

Kraken informa de que la comprobación del PIN se ejecuta en la aplicación del teléfono y no en la tarjeta, y de que la aplicación de Android almacenaba el PIN de App Lock en texto claro, escribía el PIN, la contraseña de emparejamiento y las semillas generadas en el teléfono en el registro del sistema, no bloqueaba la grabación de pantalla en las pantallas de la semilla, el PIN y el emparejamiento, y permitía saltarse la pantalla de bloqueo mediante adb. Según Kraken, un atacante que controle el teléfono (por robo o mediante malware) puede obtener lo suficiente para vaciar la billetera emparejada, y un atacante con la tarjeta y la contraseña de emparejamiento puede emparejarla con otro teléfono y acceder a los fondos sin el PIN. Kraken señala además que las transacciones se confirman pulsando un botón, sin PIN, y que la dirección de destino no se muestra en la tarjeta de forma predeterminada.

La respuesta de CoolWallet, del mismo día, afirma que el riesgo era limitado y requería acceso tanto al teléfono como a la tarjeta. Dice que desactivó el registro de datos sensibles, bloqueó las capturas y la grabación de pantalla durante la generación de la semilla y la introducción del PIN, cambió la forma en que se borran los datos sensibles de la memoria, cerró la elusión mediante adb y añadió un tiempo de espera de 10 segundos para App Lock. CoolWallet discrepa de Kraken en lo relativo a llevar la tarjeta junto con el teléfono emparejado y dice que la aprobación de transacciones se basa en la comprobación biométrica del teléfono. Ninguna de las dos publicaciones indica la versión de la aplicación que contiene las correcciones; Kraken señala que los problemas de la semilla en el teléfono se corrigieron y cita 1.11.592 como la versión vigente de la aplicación de Android en el momento de la publicación.

Qué recomienda CoolWallet:

• Actualiza a la última versión oficial de la aplicación CoolBitX Crypto y genera la semilla en la tarjeta, no en la aplicación.
• Activa App Lock y la visualización de las direcciones de destino completas en la tarjeta.
• No lleves la tarjeta junto con el teléfono emparejado.