W zeszłym tygodniu informowaliśmy o złośliwym oprogramowaniu, które rzekomo wykorzystywało lukę bezpieczeństwa w bankomatach BTC (nazywanych potocznie „bitomatami”), pozwalającą na nieautoryzowaną wypłatę środków w BTC za pomocą dołączonej karty płatniczej, o czym alarmowała firma TrendMicro, zajmująca się cyberbezpieczeństwem. Jak okazało się później, oferowane w darknecie złośliwe oprogramowanie nie działa i w żaden sposób nie łamie zabezpieczeń bitomatów.
Złośliwe oprogramowanie, wraz z karta płatniczą z chipem EMV i komunikacją bezprzewodową NFC, jest dostępne na jednym z serwisów aukcyjnych znajdujących się w darknecie (na stronach niedostępnych z poziomu zwykłej przeglądarki i niewyświetlanych w wyszukiwarkach). Sprzedający oferuje je w cenie 25 tys. dolarów, wraz ze wspomnianą kartą płatniczą, która miała pozwalać na wejście w tzw. tryb testowy bitomatu, który wg zapewnień miał dawać możliwość jednorazowych nieautoryzowanych wypłat środków o maksymalnej wartości 6750 USD w gotówce lub w BTC. Sprzedający otrzymał ponad 100 pozytywnych recenzji swojego produktu, mimo że jak dotąd nie zgłoszono żadnego przypadku złamania zabezpieczeń bankomatów obsługujących kryptowaluty.
Informacja rozeszła się dość szybko, dlatego też na reakcję producentów urządzeń nie trzeba było długo czekać. Czeska firma General Bytes, będąca jednym z dwóch największych (obok Genesis Coin) producentów bankomatów kryptowalutowych, opublikowała oficjalną odpowiedź na informacje o rzekomej możliwości złamania zabezpieczeń bankomatów BTC.
General Bytes przeanalizował ofertę złośliwego oprogramowania i stwierdził, że jest ona oszustwem i niedziałającym rozwiązaniem. Firma zarzuciła również specjalistom z TrendMicro, którzy zajmują się m.in. cyberbezpieczeństwem, zbyt pochopne wyciąganie wniosków bez sprawdzenia czy opisywane oprogramowanie, mające łamać zabezpieczenia kryptowalutowych bankomatów, rzeczywiście działa. Wg producenta „bitomatów” takie działanie nie tylko wzbudza niepotrzebna panikę wśród osób korzystających z bankomatów BTC, ale również robi niepotrzebną reklamę oszustowi, który sprzedaje niedziałające oprogramowanie, mające służyć do dokonania kradzieży.
Złośliwe oprogramowanie, które miało łamać zabezpieczenia bankomatów BTC, wciąż oferowane jest na portalu aukcyjnym „Wall Street Market”, znajdującym się w tzw. darknecie.
Sprzedający oprogramowanie nigdy wcześniej nie oferował produktów tego typu i z pewnością nie jest developerem, który mógłby zaprogramować złośliwe oprogramowanie. Mimo, że oferowany produkt ma ponad 100 pozytywnych recenzji, wg General Bytes są one kupione, gdyż jak dotąd nie doszło do żadnego udanego ataku na bankomaty BTC.
Bitomaty nie posiadają funkcjonalności, która pozwoliłaby na wydanie gotówki przed potwierdzeniem otrzymania kryptowalut oraz na przesłanie kryptowalut na podany adres portfela bez uprzedniego otrzymania gotówki.
Ponadto, sprzedawca złośliwego oprogramowania oferuje gotową do użycia kartę płatniczą z EMV (cyfrowym chipem, zamiast paska magnetycznego) oraz komunikacją NFC, która ma zapewnić złodziejom dostęp do wypłat w bitomatach. Trudno jednak nie zauważyć jak absurdalna jest ta oferta, gdyż bankomaty BTC przyjmują jedynie gotówkę i nie obsługują kart płatniczych, zaś NFC w urządzeniach firmy General Bytes służy jedynie do odczytania docelowego adresu publicznego, na który mają zostać przesłane opłacone środki w BTC.
Sprzedawca na portalu „Wall Street Market” zapewnia, że jego oprogramowanie wykorzystuje lukę bezpieczeństwa w oprogramowaniu bankomatów BTC, która pozwala na dokonanie wypłat gotówki, gdy urządzenie jest poza siecią internetową. Bitomaty nie posiadają jednak testowego oprogramowania, które mogłoby wydawać gotówkę przy braku dostępu do internetu.
Wg General Bytes, poziom zabezpieczeń antykradzieżowych w bankomatach BTC jest znacznie wyższy niż w tradycyjnych urządzeniach wydających gotówkę m.in. ze względu na rozproszony charakter bitcoina i brak centralnych punktów ataku.
Firma zapewnia również, że regularnie przeprowadza testy i audyty bezpieczeństwa oraz regularnie uaktualnia oprogramowanie.
Oznacza to, że korzystanie ze sprawdzonych bankomatów BTC jest bezpieczne i jak dotąd nie znaleziono sposobu na kradzież środków w gotówce lub kryptowalutach za ich pomocą.
Coraz więcej bitomatów
Wg lipcowego raportu portalu CoinATMRadar, liczba kryptowalutowych bankomatów przekroczyła 3500 sztuk na całym świecie. Ponad połowa z nich (52,7%) obsługuje, oprócz bitcoina, również altcoiny, w tym najczęściej Litecoina (LTC) oraz Ethereum (ETH). Ponad 62% bitomatów to urządzenia jednokierunkowe, zapewniające możliwość zakupu kryptowalut za gotówkę.
Najwięcej urządzeń znajduje się w Stanach Zjednoczonych (ponad 2 tys.), w Europie zaś przodują Wielka Brytania (175 sztuk) oraz Austria (166 sztuk). W Polsce znajdują się obecnie 23 bankomaty kryptowalutowe.
Warto zwrócić uwagę na poziom wzrostu liczby bankomatów BTC - w sierpniu 2017 r. było ich jedynie ok. 1450 sztuk na całym świecie, co oznacza że w ciągu dwunastu miesięcy ich dostępność wzrosła ponaddwukrotnie.
