Блогер с Reddit описал способ отгадать сид-фразу с помощью клавиатуры смартфона

Немецкий криптоинвестор и ИТ-специалист, известный на блогплатформе Reddit как u/Divinux, рассказал, как функция предиктивного ввода текста может скомпрометировать сид-фразу криптокошелька.

Настоящее имя блогера – Андре. Он опубликовал в сабреддите r/CryptoCurrency предупреждение о том, что при вводе текста его смартфон способен предсказывать исходную фразу для восстановления доступа к криптокошельку – при наборе первого слова из списка BIP 39.

Протокол BIP 39 (предложение по улучшению биткоинов №39) определяет 2 048 различных слов, перечисленных в алфавитном порядке. Случайная комбинация слов из списка выступает в качестве начальной сид-фразы, одного из основных уровней защиты от несанкционированного доступа к криптовалютным активам пользователя.

«Я был ошеломлен и казалось, что первые пара слов могли быть просто совпадением. Затем я увидел, как мой телефон буквально угадывает сид-фразу из 12-24 слов», – поделился Андре своим наблюдением.

Осознание возможного влияния полученной им информации, если она попадет не в те руки, побудило блогера «рассказать об этом людям».

Эксперименты немецкого инвестора показали, что GBoard от Google наименее уязвим, поскольку программа не предсказывала каждое слово в правильном порядке. Клавиатура Swiftkey от Microsoft смогла предсказать исходную фразу благодаря настройкам по умолчанию, а клавиатура Samsung может предугадывать слова, если включены функции «Автозамена» и «Предлагать исправления текста».

Андре удивился легкости, с которой хакеры могли бы использовать эту функцию для доступа к средствам пользователя, просто набрав первое слово из списка BIP 39:

«Возьмите телефон в руки, запустите любое приложение для чата, начните вводить любые слова из списка BIP39 и посмотрите, что предлагает телефон».

Одной из причин, создающих возможность для компрометации сид-фразы при вводе текста на смартфонах, Андре считает сохранение данных кеша предиктивного типа в мобильном телефоне.

Агентство по кибербезопасности Peckshield сообщило, что злоумышленники наводнили интернет фишинговыми сайтами игрового проекта Stepn для похищения сид-фраз кошельков пользователей.