Kwetsbaarheid in Bitcoin geldautomaten van Lamassu opgelost

In een recente ontwikkeling heeft Bitcoin ATM-provider Lamassu Industries een ernstige kwetsbaarheid in zijn Bitcoin-geldautomaten verholpen. Deze kwetsbaarheid kwam aan het licht nadat een team van ethische hackers van IOActive volledige controle had verkregen over de apparaten, waarmee aanzienlijke beveiligingstekortkomingen aan het licht kwamen.

Meerdere kwetsbaarheden zijn ontdekt

In 2023 ondernamen beveiligingsonderzoekers van IOActive een poging om verschillende door Lamassu uitgegeven geldautomaten te kapen. Tijdens hun pogingen om toegang te verkrijgen tot de machines, ontdekten zij meerdere kwetsbaarheden die zij vervolgens wisten te misbruiken.

Volgens de chief technology officer van IOActive, Gunter Ollman, stelde de exploit aanvallers in staat om interacties met de gekaapte geldautomaten te bekijken en te manipuleren. Ollman benadrukte dat hackers door deze kwetsbaarheden BTC konden stelen direct vanuit de portemonnees van de gebruikers. Hij waarschuwde dat een geavanceerde aanvaller de volledige gebruikerservaring van de geldautomaat zou kunnen wijzigen en gebruikers sociaal zou kunnen manipuleren voor aanvullende acties.

Daarnaast gaf Ollman aan dat aanvallers gebruikers konden verleiden tot het invoeren van hun bankrekeninggegevens door verleidelijke aanbiedingen zoals gratis of scherp geprijsde Bitcoin. Hij verzekerde echter dat de impact beperkt zou blijven tot het saldo van de gebruiker.

Volledige controle over geldautomaat kon worden verkregen

Gabriel Gonzalez, directeur hardwarebeveiliging bij IOActive, voegde eraan toe dat de kwetsbaarheid een aanvaller met fysieke toegang tot de geldautomaat in staat zou stellen om volledige controle te verkrijgen. Dit omvatte niet alleen het stelen van Bitcoin, maar ook het mogelijk leeghalen van de geldautomaat of het misleiden van de biljetlezer.

Gonzalez wees erop dat de geldautomaten op verschillende manieren konden worden uitgebuit, vooral als ze onbeheerd werden achtergelaten.

Ondanks de ernstige implicaties van deze kwetsbaarheid, heeft Lamassu Industries tijdig ingegrepen door een beveiligingspatch te implementeren voordat de kwetsbaarheid in 2024 publiekelijk werd onthuld. Het bedrijf heeft eigenaren van de geldautomaten geïnformeerd en aangedrongen op het bijwerken van hun apparaten om verdere beveiligingsrisico’s te vermijden.