Найден способ отгадать сид-фразу с помощью клавиатуры смартфона

Немецкий криптоинвестор и ИТ-специалист, известный на блогплатформе Reddit как u/Divinux, рассказал, как функция предиктивного ввода текста может скомпрометировать сид-фразу криптокошелька. 

Настоящее имя блогера — Андре. Он опубликовал в сабреддите r/CryptoCurrency предупреждение о том, что при вводе текста его смартфон способен предсказывать исходную фразу для восстановления доступа к криптокошельку — при наборе первого слова из списка BIP 39. 

Протокол BIP 39 (предложение по улучшению биткоинов №39) определяет 2 048 различных слов, перечисленных в алфавитном порядке. Случайная комбинация слов из списка выступает в качестве начальной сид-фразы, одного из основных уровней защиты от несанкционированного доступа к криптовалютным активам пользователя. 

Осознание возможного влияния полученной им информации, если она попадет не в те руки, побудило блогера «рассказать об этом людям». 

Эксперименты немецкого инвестора показали, что GBoard от Google наименее уязвим, поскольку программа не предсказывала каждое слово в правильном порядке. Клавиатура Swiftkey от Microsoft смогла предсказать исходную фразу благодаря настройкам по умолчанию, а клавиатура Samsung может предугадывать слова, если включены функции «Автозамена» и «Предлагать исправления текста». 

Андре удивился легкости, с которой хакеры могли бы использовать эту функцию для доступа к средствам пользователя, просто набрав первое слово из списка BIP 39: 

Одной из причин, создающих возможность для компрометации сид-фразы при вводе текста на смартфонах, Андре считает сохранение данных кеша предиктивного типа в мобильном телефоне. 

Агентство по кибербезопасности Peckshield сообщило, что злоумышленники наводнили интернет фишинговыми сайтами игрового проекта Stepn для похищения сид-фраз кошельков пользователей.