Недавно в кошельке Tangem обнаружили и оперативно устранили потенциальную уязвимость, которая могла затронуть кошельки Tangem. После тщательного расследования можем подтвердить, что случаев несанкционированного доступа к приватным ключам не зарегистрировано, средства пользователей утрачены не были.
Проблема была выявлена проактивно и могла потенциально затронуть не более 0,1% пользователей при обстоятельствах, стечение которых можно считать маловероятным.
В чем заключалась проблема?
При создании кошелька с использованием сид-фразы (генерация в приложении или импорт) приватный ключ ошибочно записывался в логи приложения. Эти логи отправлялись во вложении при обращении в поддержку через приложение.
Кого проблема могла затронуть?
Вопрос касается исключительно пользователей, которые:
Активировали кошелек с помощью сид-фразы.
Обратились в нашу службу поддержки через приложение в течение 7 дней после активации.
Если не выполнено СРАЗУ ОБА условия, риски отсутствуют. Уязвимость могла возникнуть только при сочетании этих двух факторов. Если вы сгенерировали или импортировали сид-фразу, но не отправляли запрос в поддержку через приложение в течение срока хранения логов, вас это не затронуло.
Кому не о чем беспокоиться?
Пользователи без сид-фразы: Если вы активировали кошелек без использования сид-фразы, ключи были сгенерированы напрямую на карте, и данная проблема вас не может затронуть физически. В базовом варианте без сид фразы ключи не генерируются на чипе, не попадают в телефон и, соответственно, не могли быть записаны в логи по определению.
Пользователи с сид-фразой, не обращавшиеся в поддержку через приложение: Если вы не связывались с поддержкой через приложение в течение 7 дней после активации кошелька с сид-фразой, ключи в безопасности.
Логи хранились в защищенном отсеке памяти приложения в течение короткого промежутка времени и по его истечении были удалены. Важно: логи никогда не отправляются в поддержку автоматически, что находит подтверждение в открытом коде приложения, доступном на GitHub.
Почему это произошло?
Для повышения производительности приложения на некоторых устройствах был внедрен механизм логирования NFC. К сожалению, в нем содержалась ошибка, выявить которую во время проверок и тестирований сразу не удалось.
Какие действия предприняты командой Tangem?
- Устранение проблемы: Ошибка была оперативно выявлена и устранена с последним обновлением (iOS 5.19.1 и Android 5.19.2). Чувствительные данные больше не записываются в логи ни при каких обстоятельствах.
- Удаление данных: Все логи и вложения, отправленные в нашу службу поддержки, были безвозвратно удалены.
- Уведомление пользователей: Все пользователи, активировавшие кошелек с сид-фразой, получат следующее уведомление в приложении: “Обращались ли Вы в поддержку в течение семи дней с момента активации кошелька”. При положительном ответе им будет предложено прочитать инструкции по дополнительным мерам безопасности.
Внимание! Сотрудники Tangem не выходят первыми на связь в личных сообщениях в соцсетях.
- Усиление мер безопасности: Внедрены дополнительные механизмы защиты и протоколы безопасности для предотвращения подобных ситуаций в будущем.
Что делать, если вы использовали кошелек с сид-фразой и обращались в поддержку?
Если оба эти обстоятельства применимы к вам, мы настоятельно рекомендуем выполнить следующие шаги для обеспечения максимальной безопасности:
- Обновите приложение Tangem до последней версии.
- Переведите свои средства с кошелька Tangem.
- Сбросьте кошелек до заводских настроек.
- Повторно активируйте кошелек без сид-фразы или создайте новую сид-фразу.
- Переведите средства обратно на заново активированный кошелек Tangem.
Программа Bug Bounty
Для поддержки наших усилий по обеспечению безопасности у Tangem действует программа Bug Bounty. Мы приглашаем специалистов в области безопасности и широкое сообщество пользователей к выявлению уязвимостей в нашей системе. Эксперты, которые обнаружат уязвимости, получат вознаграждение и помогут спасти пользователей от рисков.
Дополнительная информация
Серьезных последствий удалось избежать: несанкционированного доступа к средствам не выявлено. Потенциальная уязвимость могла оказаться реальным риском только при маловероятном стечении обстоятельств, что сужает круг затронутых пользователей. Предприняты дополнительные системные меры контроля и профилактики рисков.