La tua passphrase è vulnerabile all’input predittivo del tuo smartphone.

L’input predittivo può “indovinare” la tua frase mnemonica. Quindi attenzione agli hack.

Le frasi mnemoniche (seedphrases) sono combinazioni casuali di parole dall’elenco stabilito dal Bitcoin Improvement Protocol (BIP) 39. Rappresentano il primo livello di protezione contro l’accesso non autorizzato al crypto wallet di un utente. Ma cosa succederebbe se l’input intelligente del tuo smartphone potesse trovare quelle parole quando volevi accedere al tuo portafoglio?

L’input predittivo può “indovinare” la tua frase mnemonica

André, un professionista IT di 33 anni dalla Germania, ha recentemente postato sul subreddit r/CryptoCurrency dopo aver scoperto che il suo smartphone potrebbe prevedere un’intera frase mnemonica non appena digita la prima parola. Come monito per altri utenti Reddit e appassionati di crittografia, il post di Andre evidenzia quanto sia facile per un hacker utilizzare questa funzione per cancellare l’account di un utente semplicemente avendo accesso alla prima parola nell’elenco BIP 39: “Questo rende l’attacco più facile . Prendi il telefono, avvia una chat, digita le parole dall’elenco BIP39 e guarda cosa ha da offrire il telefono.

Attenzione agli hack

Dopo essere riuscito a riprodurre questo scenario su diversi telefoni, “ho pensato di dover avvertire le persone. Sono sicuro che molti utenti in tutto il mondo stiano digitando frasi mnemoniche sui loro telefoni”. I vari esperimenti di Andre confermano che la tastiera Google GBoard rimane la meno vulnerabile, il programma non suggeriva tutte le parole nell’ordine corretto. La tastiera Microsoft Swiftkey, d’altra parte, prevede la frase originale quasi istantaneamente. Anche la tastiera Samsung, se le opzioni “sostituzione automatica” e “correzioni di testo suggerite” sono abilitate.

La misura di sicurezza contro questo hack, sempre secondo Andre, sarebbe quella di archiviare questi asset sottostanti in un portafoglio fisico. Inoltre, “previeni che questo tipo di incidenti ti accada cancellando la cache predittiva”.