Cyber-Ingenieure haben „Zeit gehackt“, um 3 Millionen US-Dollar in Bitcoin aus dem Passwort-Manager zurückzugewinnen

von

Als Forscher finde ich die Geschichte von Joe Grand faszinierend. Sein Fachwissen im Hardware-Hacking und -Engineering, kombiniert mit den Software-Hacking-Fähigkeiten seines Freundes Bruno, führte sie zu einer beeindruckenden Entdeckung: einer Lücke in der älteren Version des RoboForm-Passwort-Managers, die es ihnen ermöglichte, Bitcoin im Wert von Millionen wiederherzustellen.

Der amerikanische Ingenieur Joe Grand und sein Begleiter Bruno entdeckten eine Schwachstelle in einer älteren Version des Passwort-Managers RoboForm, die es ihnen ermöglichte, Bitcoin im Wert von etwa 3 Millionen US-Dollar abzurufen.

Als Sicherheitsanalyst bin ich auf eine faszinierende Entdeckung des Hardware-Hackers und Ingenieurs Joe Grand und seines Software-Hacker-Kollegen Bruno gestoßen. Sie entdeckten eine Schwachstelle in einer älteren Version des RoboForm-Passwort-Managers, die ihnen den Zugriff auf große Bitcoin-Beträge im geschätzten Millionenwert ermöglichte.

In einem am 28. Mai veröffentlichten YouTube-Video berichtete Grand von einem Vorfall aus dem Jahr 2022, bei dem er von Michael, einem europäischen Krypto-Investor, kontaktiert wurde. Michael benötigte dringend Grands Hilfe, um wieder Zugriff auf sein riesiges Bitcoin-Vermögen zu erhalten, das durch den Verlust des Passworts für seinen von RoboForm generierten 20-stelligen Schlüssel unzugänglich geworden war. Die verschlüsselte Datei mit diesem Passwort wurde mit TrueCrypt gespeichert.

Mehrere Monate lang arbeiteten Grand und Bruno daran, das spezielle RoboForm-Setup zu entschlüsseln, das Michael im Jahr 2013 nutzte, um das Passwort für seine Bitcoins-Wallet zu generieren.

Ich habe festgestellt, dass eine ältere Version von RoboForm einen Fehler im Prozess der Passwortgenerierung aufwies. Dieses Problem machte die generierten Passwörter anhand des Datums und der Uhrzeit des Computers vorhersehbar. Glücklicherweise wurde mein Passwort erstellt, bevor RoboForm diese Sicherheitslücke behebt.

Laut dem Beitrag der investigativen Journalistin Kim Zetter auf Zum Zeitpunkt der Berichterstattung hatte RoboForm keine öffentlichen Stellungnahmen zu diesem Thema abgegeben.

Als Krypto-Investor würde ich es so ausdrücken: Wenn ich einer der 6 Millionen Benutzer von RoboForm wäre, die vor 2015 Passwörter mit ihrem Passwort-Manager generiert haben, würde ich möglicherweise schwache Passwörter verwenden, die von Hackern leicht geknackt werden könnten. Der Fehler im System wurde damals von der Firma stillschweigend behoben, aber bis dahin waren meine Passwörter möglicherweise angreifbar.

– Kim Zetter (@KimZetter), 28. Mai 2024

Als Krypto-Investor habe ich Millionen potenzieller Passwörter generiert, basierend auf dem angeblichen Erstellungsdatum und der angeblichen Erstellungszeit einer Wallet, die einer Person namens Michael gehört. In Zusammenarbeit mit einem Partner haben wir Brute-Force-Methoden eingesetzt, um das richtige Passwort zu finden, das den Zugriff auf dieses Wallet ermöglicht. Nachdem wir unseren Ansatz verfeinert hatten, gelang es uns, das am 15. Mai 2013 um 16:10:40 GMT erstellte Passwort zu entdecken und Michaels Vorrat von 43,6 Bitcoins freizuschalten, der jetzt etwa 3 Millionen US-Dollar wert ist.

Joe Grand, der Gründer von Grand Idea Studio, ist Elektroingenieur, Erfinder und erfahrener Hardware-Hacker. Er erlangte in der Krypto-Community große Anerkennung für den erfolgreichen Hack eines Trezor-One-Wallets im Jahr 2022 und half seinem Besitzer dabei, Bitcoin im Wert von 2 Millionen US-Dollar zurückzugewinnen. Grand, bekannt unter seinem Hackernamen „Kingpin“, verfügt über einen beeindruckenden Hintergrund im Hardware-Hacking und bietet weiterhin Beratungsdienste für Unternehmen an, die ihre digitale Sicherheit stärken möchten.

Weiterlesen

2024-05-29 13:05