KeepKey incelemesi

KeepKey cihazının belirli bir sorunu var ve bu, genellikle suçlandığı sorun değil. 2019 yılında Kraken Security Labs, kurtarma ifadesinin, cihazı yaklaşık 15 dakika boyunca elinde tutan ve yaklaşık 75 dolar değerinde glitching ekipmanı kullanan herkes tarafından bir KeepKey cihazından çıkarılabildiğini gösterdi; bu işlem şifrelenmiş kurtarma ifadesini veriyor ve onu koruyan 1 ile 9 haneli PIN'i ardından kaba kuvvetle denemek önemsiz. Kraken ekibinin vardığı sonuç, kusurun kodda değil mikrodenetleyicide olduğu, dolayısıyla hiçbir ürün yazılımı güncellemesinin bunu kapatamayacağıydı. Yalnızca savunmak istediğiniz şey kötü amaçlı yazılım ve oltalama (phishing) ise, hırsızlık değilse bir tane satın alın ve her iki durumda da BIP39 parolasını (passphrase) açın.

KeepKey bunlardan hiçbirini gizlemiyor ve bunu açıkça söylemek gerekir. Ürün sayfası çipi adıyla belirtiyor, bir STM32F405 ARM Cortex-M4, donanım şemalarını, PCB yerleşimini ve malzeme listesini GitHub üzerinde yayımlıyor ve “tescilli Secure Element yok” ifadesini bir eksiklik değil tasarım tercihi olarak listeliyor: her parça piyasada bulunan standart bir bileşen, böylece herkes kartı denetleyebilir veya bir tane inşa edebilir. Bu gerçek bir argüman ve Ledger markasının yapamadığı argüman, çünkü donanım tasarımı ve cihaz işletim sistemi kapalı. Bunun bedeli yukarıdaki saldırı, çünkü genel amaçlı bir mikrodenetleyici, kartı elinde tutan birinden bir sırrı saklamak üzere üretilmemiştir ve Kraken raporu bu çip ailesi hakkında tam olarak bunu söylüyor.

KeepKey markasının kendi sitesi markanın 2014 yılına dayandığını belirtiyor ve Denver, Colorado'dan gönderim yapıyor. Bir şeyle öne çıkıyordu: döneminin en büyüğü olan 3,12 inç OLED ekran, cihaz üzerinde bir adresi doğrulamayı gerçekten okunaklı kılıyordu. ShapeShift borsası şirketi Ağustos 2017'de satın aldı ve kullanıcı tabanını büyütmek için fiyatı agresif biçimde düşürdü; ShapeShift Temmuz 2021'de bir DAO'ya dönüşerek dağıldığında cüzdan onun elinden çıktı.

Ürün yazılımı bakımda tutuluyor ve bunu açıkça söylemek gerekir çünkü satış sayfası bunu göstermiyor. keepkey.com, Gen 3 cihazını $59,95 fiyatla satıyor ve bir sürüm geçmişi yayımlamadan ömür boyu ücretsiz ürün yazılımı güncellemesi vaat ediyor; gerçek kaydı github.com/keepkey/keepkey-firmware adresindeki depo taşıyor. 7.10.0 sürümü Şubat 2025'te Taproot çıktılarını ekledi, 7.14.0 Nisan 2026'da Solana, Tron, TON ve Zcash desteğini ekledi ve 7.14.1 Haziran 2026'da daha fazla imza türü ve notlarında imza doğrulama ve mesaj işleme genelinde güvenlik sertleştirmesi olarak adlandırdığı değişikliklerle geldi. Sürüm etiketleri imzalı ve her sürüm yeniden üretilebilir bir Docker derlemesinin beklenen hash değerini yayımlıyor, böylece cihaza yüklediğiniz ikili dosya kaynak koduyla karşılaştırılabilir. Geliştirme sektörün geri kalanından daha yavaş, Mart 2024 ile Şubat 2025 sürümleri arasında on bir aylık bir boşluk var, ancak yavaş olmak terk edilmiş olmakla aynı şey değil.

Yani buradaki uyarı ihmal değil donanımla ilgili. Gerçek birikiminizi bir KeepKey cihazında tutuyorsanız ya cihaza hiç yazılmayan ve bu nedenle saldırıdan etkilenmeyen bir BIP39 parolasını (passphrase) etkinleştirin ya da Secure Element etrafında inşa edilmiş bir cihaza geçin: bir Trezor Safe modeli, güncel bir Ledger ya da bir BitBox02. Geçiş yaparsanız eski kurtarma ifadesini içe aktarmak yerine yeni cihazda yeni bir kurtarma ifadesi üretin, çünkü eski kurtarma ifadesi ömrünü fiziksel zayıflığı bilinen donanımda geçirdi.