De acordo com o Cointelegraph, o gerador de carteiras WalletGenerator.net, apresentou um erro que fazia com que chaves privadas/chaves públicas idênticas fossem emitidas para vários usuários.
A vulnerabilidade foi descrita em um post feito pelo especialista em segurança da informação Harry Denley, da MyCrypto, em 24 de maio.
De acordo com o post, o código defeituoso estava em vigor em agosto de 2018, e só foi recentemente corrigido em 23 de maio. O código do site supostamente é aberto e auditado pelo GitHub, mas houve diferenças detectadas entre os dois.
Depois de pesquisar o código diretamente no site WalletGenerator.net, Denley concluiu que as chaves foram geradas de forma determinista, não aleatoriamente, como deveria ser.
Em um dos testes do MyCrypto, entre 18 e 23 de maio, eles usaram um gerador em massa para gerar 1.000 chaves. A versão do GitHub retornou 1.000 chaves exclusivas, no entanto a versão do site retornou 120 chaves iguais.
Mesmo quando outros fatores foram alterados, incluindo atualizações do navegador, alterações de VPN ou alterações do usuário, o gerador em massa sempre retornou 120 chaves exclusivas em vez de 1.000.
A aleatoriedade é um fator essencial para geração de chaves seguras. Como o post coloca:
“Ao gerar uma chave, você pega um número super-aleatório, transforma-o na chave privada e transforma isso em chave pública / endereço. No entanto, se o número “super-aleatório” for sempre “5”, a chave privada gerada será sempre a mesma. É por isso que é tão importante que o número super aleatório seja realmente aleatório … não “5.”
O WalletGenerator corrigiu o problema do determinismo depois que o MyCrypto entrou em contato no meio de sua investigação. WalletGenerator supostamente respondeu depois dizendo que as alegações não puderam ser verificadas.
MyCrypto adicionou que os usuários que geraram chaves no site depois de 17 de agosto de 2018 devem transferir imediatamente seus fundos para uma carteira diferente e recomendaram não usar o WalletGenerator.net.