Ricercatore segnala una falla in Cake Wallet che permetterebbe di deviare pagamenti in bitcoin

• Secondo il suo rapporto, colpirebbe i wallet di Bitcoin nelle versioni 6.4.4 e 6.5.0.
• Il presunto attacco richiede un server malevolo o un intermediario nella rete.

Un ricercatore di sicurezza che firma come "floppy" ha pubblicato il 24 ottobre un rapporto su una presunta falla in Cake Wallet, un wallet mobile open source. Secondo il rapporto, la falla permetterebbe di deviare i pagamenti in bitcoin verso un attaccante quando l'utente accelera una transazione in attesa. L'azienda non ha commentato il rapporto.

Lo scenario descritto dal ricercatore è concreto: l'utente invia bitcoin, la transazione rimane non confermata e decide di pagare di più affinché venga elaborata prima. Questa funzione, chiamata RBF (replace-by-fee), crea una copia dell'invio con una tariffa più alta che sostituisce l'originale.

Secondo il rapporto, per creare quella copia Cake Wallet non utilizza i propri registri. Richiede i dati a un server Electrum, il dispositivo remoto a cui si connette l'app per consultare la rete senza scaricarla completamente. Il ricercatore sostiene che l'app non controllerebbe che ciò che riceve corrisponda a quanto richiesto.

Detto in modo semplice, sarebbe come chiedere a un terzo una copia di un assegno per ristamparlo e firmarlo senza controllare il nome del beneficiario. Se il server cambiasse l'indirizzo del destinatario con il proprio, il wallet firmerebbe comunque e il pagamento finirebbe nelle mani dell'attaccante.

Chi potrebbe approfittarne, secondo il rapporto

Il ricercatore identifica due profili di attaccante. Il primo sarebbe chi gestisce il server utilizzato dall'app. Potrebbe essere il nodo predefinito di Cake Wallet, uno di terzi o uno personalizzato scelto dall'utente.

Il secondo sarebbe un intermediario nella rete, ad esempio in un wifi pubblico. L'autore afferma che ciò è possibile perché l'app accetterebbe qualsiasi certificato di sicurezza, cioè non verificherebbe che il server sia chi dice di essere. Secondo lo stesso rapporto, la modalità Tor integrata di Cake effettua tale verifica, quindi quella via sarebbe chiusa.

Il ricercatore aggiunge che l'utente non avrebbe modo di accorgersene. Se il server risponde onestamente alla prima richiesta e altera le successive, la schermata di conferma mostrerebbe lo stesso di un'accelerazione legittima.

Ciò che resta da confermare

Il rapporto include una prova di concetto che, secondo l'autore, è stata eseguita in una rete di test locale di Bitcoin. In quell'ambiente, assicura, la sostituzione falsificata è stata accettata e confermata, con il pagamento inviato all'indirizzo dell'attaccante.

Tuttavia, lo stesso autore chiarisce che non l'ha eseguita contro l'app installata su un dispositivo. Non ci sono registrazioni di furti, anche se la sua pubblicazione su X parla direttamente di "furto tramite RBF". Per ora, la falla non è stata verificata da terzi né riconosciuta da Cake Wallet.

L'autore ha anche dichiarato di aver utilizzato strumenti di intelligenza artificiale per indagare sulla falla, creare la prova e redigere il rapporto. Questo dato rende ancora più rilevante una revisione indipendente del rapporto prima di considerarlo valido.

Il caso presenta un contrasto. Di fronte a un furto recente che ha colpito un altro wallet, Cake ha assicurato nel suo forum ufficiale che da anni sta auditando quel tipo di codice. Ha anche detto che ha intensificato tali revisioni con modelli di IA.

Un altro aspetto è il termine. Il ricercatore ha pubblicato il rapporto cinque giorni dopo averlo inviato e ha accusato il team di essere più impegnato nel marketing. Questo margine è molto più breve dei 90 giorni abituali nella divulgazione responsabile delle vulnerabilità.

Precauzioni nel frattempo

Il rapporto propone che l'app verifichi che la transazione ricevuta corrisponda a quella richiesta e mostri a schermo ciò che realmente andrà a firmare. Finché Cake Wallet non si pronuncerà, gli utenti che vogliono essere prudenti possono:

• Evitare l'opzione di accelerare la commissione (Bump fee) per invii in attesa.
• Attivare la modalità Tor dell'applicazione.
• Connettersi a un server Electrum proprio o di fiducia.

Al di là di come si concluderà il caso, il rapporto ricorda che un wallet leggero dipende da server esterni per vedere la rete, e che ogni dato che non verifica è un dato di cui si fida. Se la falla viene confermata, la debolezza non sarebbe nella crittografia, ma in quella fiducia.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.