El firmware del Trezor One dejaba la semilla en la RAM, legible con acceso físico

En agosto de 2017 SatoshiLabs publicó el firmware 1.5.2 del Trezor One para corregir una vulnerabilidad comunicada a través de su programa de divulgación responsable. Según el resumen de la cronología de la divulgación publicado por EtherWorld, el fallo se comunicó el 1 de agosto de 2017 y afectaba a todos los dispositivos con un firmware anterior a 1.5.2; el firmware corregido se publicó el 16 de agosto. Saleem Rashid publicó un análisis independiente del problema el 17 de agosto.

Rashid explica que el ataque requiere acceso físico a un dispositivo abierto: reiniciar el microcontrolador sin cortar la alimentación deja intacto el contenido de la RAM, porque el bootloader antiguo no borraba toda la RAM al arrancar, y un firmware personalizado cargado después puede leer los secretos de la billetera desde una dirección de memoria conocida. Señala que una passphrase BIP39 no se almacena en el dispositivo, por lo que una billetera protegida con passphrase no queda expuesta. El firmware 1.5.2 traslada los datos secretos a una zona de la RAM que el bootloader sobrescribe, y Rashid afirma que 1.5.2 no es vulnerable a este exploit ni a ninguna variante suya.

SatoshiLabs publicó su propio informe el 18 de agosto de 2017, antes de lo previsto, según dice, debido a la desinformación sobre la actualización. Confirma la cronología (comunicado el 1 de agosto, firmware 1.5.2 publicado el 16 de agosto), describe el ataque como uno que requiere acceso físico a un dispositivo desmontado y afirma que un artículo anónimo según el cual Trezor había sido hackeado describía un vector de ataque que 1.5.2 ya había cerrado. Trezor añade que los dispositivos nuevos recibieron un bootloader que borra toda la RAM, que volver a una versión anterior a 1.5.2 borra el almacenamiento y que todos los dispositivos basados en el diseño de Trezor eran potencialmente vulnerables, por lo que informó a otros fabricantes de hardware wallets. En enero de 2022 Joe Grand utilizó un ataque de voltage glitching para recuperar el PIN olvidado de un Trezor One con un firmware antiguo en el que, según informan Decrypt y Cointelegraph, el PIN y la clave estaban presentes en la RAM. Trezor respondió que se trataba de un exploit obsoleto, que no suponía un problema para los usuarios actuales, que se corrigió en 2017 tras una comunicación de divulgación responsable y que requiere acceso físico completo al dispositivo.