Обнаружено 41 уязвимость в прошивке майнеров биткойнов

В ходе аудита безопасности прошивки майнеров биткойнов (BTC) были выявлены 41 уязвимость в стороннем программном обеспечении. Фонд 256 провел первый аудит безопасности прошивки для оригинальной прошивки Bitmain S19j Pro и S21, а также для LuxOS, VNISH и Braiins OS. В оригинальной прошивке Bitmain не были обнаружены признаки сканирования хешрейта, скрытых коммуникационных маяков или вредоносного поведения. В то же время в сторонних прошивках, таких как LuxOS, VNISH и Braiins OS, были выявлены 41 проблема безопасности, включая отсутствие замены базовых учетных данных fleet, SSH-ключи, включенные в образ прошивки, неаутентифицированный заводской API и пути обновления, которые обходят проверку пароля. Результаты аудита ограничены конкретными моделями и прошивками, поэтому их трудно применить ко всем майнерам и всем прошивкам. Фонд 256 ставит перед собой цель изменить инфраструктуру майнинга биткойнов на открытое программное обеспечение и утверждает, что майнеры должны иметь возможность читать и проверять программное обеспечение оборудования. Этот аудит демонстрирует напряженность между закрытыми и сторонними прошивками. LuxOS заявляет, что завершила аудит SOC 2 Type 2, а Braiins OS предоставляет инструкции по проверке открытых ключей и GPG-подписей. В сообществе возникают вопросы о процессе установки и восстановления прошивки, а обсуждение безопасности биткойнов также связано с практическими проблемами, такими как ошибки реализации генерации сидов аппаратных кошельков.