Der Anbieter von Kryptowährungs-Wallets, Tangem, hat eine kritische Sicherheitsanfälligkeit in seiner mobilen App behoben, die bestimmte private Schlüssel von Benutzern über E-Mails sammelte.
Die Lösung kam, nachdem Reddit-Nutzer Tangem wiederholt dafür kritisiert hatten, die Gelder der Investoren zu gefährden, indem sie deren private Schlüssel in E-Mail-Konten und an Tangem-Mitarbeiter aussetzten.
Am 29. Dezember gewann eine Reddit-Diskussion über die Operationen von Tangem an Fahrt, in der der Wallet-Anbieter beschuldigt wurde, private Schlüssel über E-Mails zu stehlen. Der Redditor, u/areklanga, beschuldigte Tangem außerdem, keine „sinnvolle Reaktion“ zu zeigen, als das Problem zuvor angesprochen wurde.
„Die privaten Schlüssel der Benutzer bleiben sowohl in der E-Mail-Historie des Benutzers, in der E-Mail-Historie von Tangem und vielleicht in einem Tangem-Ticket-Tracking-System verfügbar und sind für Tangem-Mitarbeiter zugänglich. Was alle Tangem-Nutzer kompromittiert.“
Sie behaupteten auch, dass der ursprüngliche Reddit-Beitrag, der den Fehler erwähnte, „aus irgendeinem Grund gelöscht wurde.“
Tangem gab einen zeitgerechten Bugfix heraus
Tangem erkannte das Problem am 30. Dezember an und erklärte, dass der Vorfall aus einem Fehler in der Protokollverarbeitung der mobilen App resultierte, der nun „vollständig behoben“ sei. Tangem gab auch eine Aufschlüsselung der Situation:
„Was war das Problem? Beim Erstellen einer Wallet mit einer Seed-Phrase wurde der private Schlüssel versehentlich in den Protokollen der Anwendung protokolliert. Diese Protokolle könnten später während der Interaktionen mit unserem Support-Team abgerufen werden.“
Tangem erhielt am 30. Dezember ein neues Update. Quelle: Google Play
Die offizielle Website von Tangem, die alle Versionsupdates ihrer mobilen Anwendung protokolliert, erwähnte keine Details zum Update vom 30. Dezember.
Tangem bestätigte auch in seiner Reddit-Antwort, dass „alle Protokolle und Anhänge, die an sein Support-Team gesendet wurden, dauerhaft gelöscht wurden, um sicherzustellen, dass keine restlichen Daten vorhanden sind.“
Tangem wird vorgeworfen, die Situation zu bagatellisieren
Laut dem Unternehmen betraf der Seed-Phrase-Leaker-Bug eine kleine Gruppe von Benutzern, die proaktiv kontaktiert werden, um Vorsichtsmaßnahmen und Unterstützung zu bieten:
„Es könnte eine sehr begrenzte Gruppe von Benutzern betroffen haben: speziell diejenigen, die eine generierte Seed-Phrase verwendet haben und dann sofort eine Support-Anfrage über die App eingereicht haben. Es betrifft keine anderen Benutzer.“
Während Tangem am 30. Dezember ein Update veröffentlichte, um weitere Lecks von Seed-Phrasen zu verhindern, kritisierten die Mitglieder der Krypto-Community die gedämpfte Reaktion des Wallet-Anbieters. Tangem reagierte nicht auf die Anfrage von Cointelegraph für einen Kommentar.
Tangem hat bis zum 31. Dezember keine offiziellen Ankündigungen auf seinen offiziellen Social-Media-Kanälen, Twitter, Discord oder Telegram, gemacht. Alle Tangem-Nutzer werden jedoch dringend geraten, ihre mobilen Anwendungen sofort zu aktualisieren, um Lecks von Seed-Phrasen zu vermeiden.
Magazine: Story Protocol hilft IP-Erstellern, den AI-Angriff zu überstehen… und in Krypto bezahlt zu werden