Uno de los modelos de cajeros automáticos de Bitcoin más populares del mundo, el BATMtwo (BATM2) de la empresa General Bytes, tiene varias vulnerabilidades de seguridad o vectores de ataque que pueden ser explotados en detrimento del usuario.
Según un informe de la firma de seguridad Kraken, una de las brechas de seguridad más preocupantes de estos cajeros automáticos es que Se puede acceder a la configuración del equipo mediante un código QR único..
Una vez en posesión de los permisos de administrador, puede tomar el control del cajero y, por ejemplo, conectarte a un servidor malicioso para robar bitcoins (BTC) y otras criptomonedas que los usuarios pueden depositar.
También señalan que el dispositivo se puede abrir sin que un detector registre en la computadora local que se abrió la puerta. Esto podría permitir, como explican en un video, que un atacante con la clave física del cajero pueda abra la puerta e inserte un dispositivo USB que se conecta de forma inalámbrica a un teclado y un ratón, tomando el control del cajero automático y su sistema operativo basado en Android.
Pero también un atacante podría instalar aplicaciones o software a su conveniencia. El vídeo muestra cómo los especialistas consiguieron sustituir el software del cajero por ‘DOOM’, un clásico de los videojuegos.
Además, el hardware incluye dos interruptores que le permiten iniciar el cajero automático en modo de programación, permitiendo modificar el sistema operatorio. Esta cualidad sería resistente al restablecimiento de fábrica, señalan, lo que afecta la seguridad de toda la cadena de suministro.
Por ejemplo, un actor malintencionado podría acceder al software y realizar cambios antes de que el cajero automático salga de fábrica como nuevo.
Además, también problemas encontrados en el servidor web del software del cajero automático. Como se detalla, en este administrador se pueden crear usuarios sin ningún tipo de credenciales. Si este usuario tiene su sesión abierta en uno de estos cajeros automáticos, podría acceder a los datos de los demás usuarios, así como a las criptomonedas depositadas.
Según CoinATMRadar, General Bytes cuenta con 6.383 cajeros automáticos para Bitcoin y otras criptomonedas, entre sus dos modelos disponibles, el BATMTwo (BATM2) y el BATMThree (BATM3), ambos con características similares. Por el momento, la compañía no ha ofrecido comentarios sobre las vulnerabilidades reportadas.
Los cajeros automáticos de criptomonedas BATM han demostrado ser una alternativa simple para que las personas compren activos digitales. Sin embargo, la seguridad de estas computadoras es cuestionable, debido a fallas de seguridad conocidas en su hardware y software.
Laboratorios de seguridad de Kraken.
Medidas de seguridad para el uso de cajeros automáticos de Bitcoin
Kraken sugiere, en su publicación, use solo cajeros automáticos de criptomonedas ubicados en tiendas o lugares confiables. Además, aconsejan tener en cuenta otros factores, como que hay cámaras de vigilancia en el lugar y que es poco probable que alguien pueda acceder al cajero automático.
Ahora, como operador de uno de estos cajeros automáticos, recomiendan cambiar el código QR del administrador que se establece de forma predeterminada en la configuración de fábrica.
Además, se sugiere mantener actualizado el servidor del cajero y seguir las sugerencias de seguridad de General Bytes, además de tomar las medidas necesarias en el establecimiento para proteger el cajero automático y sus usuarios.
CriptoNoticias informó el 22 de septiembre sobre elvarios cajeros automáticos de bitcoins y otras criptomonedas que, a nivel mundial, se cuadriplicaron desde enero de 2020. Actualmente hay 21,158 cajeros automáticos de criptomonedas operando en todo el mundo, según CoinATM Radar.