サイバーエンジニアが「時間をハッキング」してパスワードマネージャーからビットコイン300万ドルを回収

研究者として、私はジョー・グランドの話に魅力を感じています。ハードウェアハッキングとエンジニアリングに関する彼の専門知識と、友人のブルーノのソフトウェアハッキングスキルが組み合わさって、彼らは印象的な発見につながりました。それは、古いバージョンのロボフォームパスワードマネージャーの抜け穴で、数百万相当のビットコインを回収することができました。

アメリカのエンジニア、ジョー・グランドと彼の同僚ブルーノは、ロボフォームパスワードマネージャーの古いバージョンの脆弱性を発見し、約300万ドル相当のビットコインを取得することができました。

セキュリティアナリストとして、私はハードウェアハッカー兼エンジニアのジョーグランドと、ソフトウェアハッキングの彼の同僚であるブルーノによる興味深い発見に遭遇しました。彼らは、ロボフォームパスワードマネージャーの古いバージョンに脆弱性を発見しました。この脆弱性により、数百万ドル相当と推定される大量のビットコインにアクセスできるようになりました。

5月28日に公開されたYouTubeビデオの中で、グランド氏はヨーロッパの仮想通貨投資家マイケルから連絡を受けた2022年の出来事を語った。マイケルは、ロボフォームで生成した 20 文字のキーのパスワードを紛失したためにアクセスできなくなっていたビットコインの莫大な財産へのアクセスを取り戻すために、グランドの援助を緊急に要求しました。このパスワードを含む暗号化ファイルは、TrueCrypt を使用して保存されました。

グランドとブルーノは数か月間、マイケルが2013年にビットコインウォレットのパスワードを生成するために利用した特定のロボフォーム設定の解読に取り組みました。

古いバージョンのロボフォームにはパスワード生成プロセスに欠陥があるという事実がわかりました。この問題により、生成されたパスワードがコンピュータの日付と時刻に基づいて予測可能になりました。幸いなことに、私のパスワードはロボフォームがこの脆弱性に対処する前に作成されていました。

調査ジャーナリストのキム・ゼッター氏の X への投稿によると、2015 年以前にこのソフトウェアを使用してパスワードを生成した約 600 万人のロボフォームユーザーは、未公開の脆弱性により解読される可能性のある弱いパスワードを持っている可能性があります。報告時点では、ロボフォームはこの問題に関して公式声明を発表していませんでした。

仮想通貨投資家として、私はこう言います。2015 年以前にパスワードマネージャーを使用してパスワードを生成していたロボフォームの 600 万人のユーザーの 1 人が私だったら、ハッカーによって簡単に解読される可能性のある弱いパスワードを使用しているかもしれません。システムの欠陥は当時会社によって黙って修正されましたが、それまでは私のパスワードは脆弱だった可能性があります。
— Kim Zetter (@KimZetter) 2024 年 5 月 28 日

仮想通貨投資家として、私はマイケルという名前の個人に属するウォレットの作成日時を基に、何百万もの潜在的なパスワードを生成してきました。私たちはパートナーと協力して、このウォレットへのアクセスを許可する正しいパスワードを見つけるためにブルートフォース手法を採用しました。アプローチを微調整した結果、2013 年 5 月 15 日 16:10:40 GMT に作成されたパスワードの発見に成功し、マイケルが隠していた 43.6 ビットコイン (現在約 300 万ドル相当) のロックを解除しました。

Grand Idea Studio の創設者である Joe Grand は、電気エンジニア、発明家、そして熟練したハードウェアハッカーです。彼は、2022 年に Trezor One ウォレットのハッキングに成功し、その所有者が 200 万ドル相当のビットコインを回収できるよう支援したことで、暗号通貨コミュニティ内で大きな知名度を得ました。ハッカーのハンドルネーム「キングピン」で知られるグランド氏は、ハードウェアハッキングの優れた経歴を誇り、デジタルセキュリティの強化を求める企業にコンサルティングサービスを提供し続けています。

2024-05-29 13:05