OneKey reagiert auf den Milk Sad-Vorfall und bestätigt, dass die Schwachstelle die Sicherheit seiner Software- und Hardware-Wallets nicht beeinträchtigt.

ChainCatcher berichtet, laut dem chinesischen Twitter-Account von OneKey, dass die jüngst aufgetretene Schwachstelle im Zusammenhang mit dem "Milk Sad"-Vorfall, die eine Lücke bei der Zufallszahlengenerierung betrifft, keine Auswirkungen auf die Sicherheit der Mnemonics und privaten Schlüssel von OneKey Software- und Hardware-Wallets hat.

Die Schwachstelle stammt aus der Verwendung des Pseudozufallszahlengenerators von Libbitcoin Explorer (bx) Version 3.x, der auf Systemzeit und dem Mersenne Twister-32 Algorithmus basiert. Der Seed-Bereich beträgt lediglich 2³² Bits, wodurch Angreifer durch Vorhersage oder Brute-Force-Angriffe private Schlüssel ableiten können. Betroffen sind unter anderem einige ältere Versionen von Trust Wallet sowie alle Produkte, die bx 3.x oder ältere Versionen von Trust Wallet Core verwenden. OneKey erklärt, dass ihre Hardware-Wallets einen EAL6+ Sicherheitschip mit integriertem TRNG (True Random Number Generator) verwenden; ältere Geräte wurden zudem durch SP800-22 und FIPS140-2 Entropietests geprüft; die Software-Wallet nutzt eine systemweite CSPRNG-Entropiequelle zur Generierung von Zufallszahlen, was kryptografischen Standards entspricht. Das Team betont, dass Nutzer zur Verwaltung ihrer Vermögenswerte Hardware-Wallets verwenden sollten und keine mit Software-Wallets generierten Mnemonics in Hardware-Wallets importieren sollten, um maximale Sicherheit zu gewährleisten.