Kraken onthult kwetsbaarheden in veelgebruikte Bitcoin-geldautomaten

Kraken’s Security Labs, de cybersecuritytak van de populaire crypto-exchange Kraken, heeft naar verluidt verschillende kwetsbaarheden geïdentificeerd in de veelgebruikte General Bytes BATMtwo Bitcoin-geldautomaat.

Standaard Admin QR-Code

“Ons team ontdekte dat een groot aantal Bitcoin-geldautomaten is geconfigureerd met dezelfde standaard admin QR-code, waardoor iedereen met deze QR-code naar een geldautomaat kan lopen en deze kan schaden.”

Dit schreef het Kraken Security Labs team in een blogpost waarin de kwetsbaarheden bekend werden gemaakt. Hier voegde Kraken het volgende nog aan toe:

“Ons team vond ook een gebrek aan veilige opstartmechanismen, evenals kritieke kwetsbaarheden in het ATM-beheersysteem.”

De ontdekkingen van Kraken hebben zowel hardware- als softwarematige gevolgen voor de automaten van General Bytes.

Slechts één compartiment met slot

Volgens Kraken heeft de General Bytes BATMtwo geldautomaat slechts één enkel compartiment dat wordt beschermd door een slot. Hierover meldde Kraken het volgende:

“Het omzeilen daarvan biedt directe toegang tot de volledige internals van het apparaat. Een aanvaller zou hierdoor het geldkistje, de ingebedde computer, de webcam en de vingerafdruklezer kunnen schaden.”

Wat betreft software ontdekte Kraken dat ‘veel gebruikelijke beveiligingsfuncties ontbraken’. Het wordt hierdoor eenvoudiger gemaakt voor hackers om potentieel schade aan te richten. Door een USB-toetsenbord op de BATMtwo aan te sluiten, werd het mogelijk om volledige toegang tot de gebruikersinterface te krijgen. Dit zou in theorie aanvallers in staat stellen om applicaties te installeren, bestanden te kopiëren of zelfs het apparaat privésleutels naar de aanvaller te laten sturen.

Verbetering van de veiligheid

Inmiddels heeft Kraken al een aantal oplossingen aangedragen voor zowel gebruikers als eigenaren of exploitanten van Bitcoin-automaten. Kraken adviseert aan iedereen die een Bitcoin-automaat wilt gebruiken om alleen die te gebruiken die in winkels staan die u vertrouwt. Ook moet men ervoor zorgen dat deze ‘perimeterbescherming’ heeft. Hieronder vallen bijvoorbeeld bewakingscamera’s.

Voor eigenaars en beheerders van General Bytes’ Bitcoin-automaten stelt Kraken voor om de standaard QR-admincode te wijzigen. Vervolgens wil het deze op een locatie plaatsen waar er veiligheidscontroles zijn, en wordt geadviseerd om de algemene adviesen van General Bytes op te volgen. Hierdoor worden de automaten voor zowel gebruikers als beheerders veiliger om te gebruiken.