Seed-sætninger: De 12 ord, der står mellem dig og at miste alt

Ordene er ikke en adgangskode. De er pengene.

En seed-sætning, som regel bestående af 12 eller 24 ord hentet fra en standardiseret liste på 2.048, er ikke et login, der giver adgang til midler, der ligger et andet sted. Matematisk set er den selve tegnebogen. Hvert eneste af disse ord indeholder en del rå entropi, som en deterministisk algoritme (specificeret i en standard kaldet BIP39) omdanner til en primær privat nøgle, og hver eneste bitcoin-adresse, som en tegnebog nogensinde har genereret eller nogensinde vil generere, udledes af netop denne ene nøgle.

Der findes ingen virksomhedsdatabase, der opbevarer en kopi, ingen kundeservicetelefon, der kan slå en glemt nøgle op, og ingen »glemt adgangskode«-procedure. Den, der kan fremlægge ordene, kontrollerer alle de mønter, som disse ord kan afledes til (øjeblikkeligt og uigenkaldeligt).

Det er netop derfor, at tyveriet i januar lykkedes uden nogen form for teknisk udnyttelse overhovedet. Blockchain-forensikfirmaet ZeroShadow, som efterfølgende hjalp med at spore de stjålne midler, beskrev det som et resultat »af social engineering snarere end nogen form for kompromittering af tegnebogssoftware eller infrastrukturen omkring de private nøgler.«

Angriberen behøvede ikke at bryde ind i noget. Han behøvede blot at få offeret til at indtaste 12 ord det forkerte sted og handlede derefter hurtigt: de ca. 139 millioner dollar i bitcoin og 153 millioner dollar i litecoin blev fordelt på THORChain-broer, omvekslet via instant-exchange-tjenester til monero og lagdelt gennem peel-chain-overførsler inden for få minutter.

ZeroShadows overvågningsteam formåede at markere og indefryse omkring 700.000 dollars af beløbet inden for 20 minutter – en sjælden delvis redning og en påmindelse om, hvor lille en brøkdel af et tyveri af en seed-sætning der normalt overhovedet kan genvindes.

Hvorfor 12 ord faktisk er et enormt tal

Hvert BIP39-ord indeholder 11 bit entropi, fordi ordlisten har nøjagtigt 2.048 (2^11) poster. En sætning på 12 ord indeholder cirka 128 bit i samlet entropi, når man tager højde for en indbygget kontrolsum, og en sætning på 24 ord indeholder 256 bit.

Det er ikke bare »større« tal end en typisk adgangskode – de er astronomisk meget større. At afprøve alle mulige kombinationer af en fuld sætning på 12 ord ved hjælp af brute-force-angreb, selv med en ekstremt generøs hastighed på 1 milliard gæt pr. sekund, ville tage i størrelsesordenen 10^22 år. Universet er omkring 13,8 milliarder år gammelt.

Der findes ingen realistisk mængde fremtidig regnekraft, der kan lukke dette hul; at gætte en komplet, ukendt seed-sætning er ikke en risiko, man behøver at tage højde for.

Faren ligger aldrig i matematikken, men i eksponering. Hvis blot en håndfuld af ordene lækkes, eller en angriber finder ud af nogle af dem via et foto, en cloud-backup eller et svindelforsøg, hvor man udgiver sig for at være support, kollapser det resterende søgeområde katastrofalt i stedet for gradvist. Diagrammet ovenfor viser hvorfor: Når 6 ud af 12 ord allerede er kendt, vil det stadig tage anslået 1.169 år at knække resten ved den samme gætningshastighed (stadig sikkert).

Men når 7 ord er kendt, falder det tal til under et år. Når 8 ord er kendt, er det et par timer. Når 10 eller 11 ord er kendt, er det millisekunder. Sikkerheden forringes ikke lineært, efterhånden som ord lækkes; den styrter ned ad en klippe, hvilket netop er grunden til, at »bare de første seks ord« eller »halvdelen af min sætning« ikke er væsentligt sikrere at afsløre end det hele.

Den eneste funktion, der er udviklet til at fange fejl, ikke angribere

BIP39’s kontrolsum findes af en langt mere banal grund end sikkerhed mod gætteri: den opfanger stavefejl. Det sidste ord i en seed-sætning er ikke rent tilfældigt; nogle få af dets bits udgør en kontrolsum, der beregnes ud fra de øvrige ord, så en wallet kan verificere, at sætningen er blevet indtastet korrekt.

Skriver du ét ord forkert, er der meget stor sandsynlighed for, at tegnebogen markerer frasen som ugyldig i det øjeblik, du forsøger at gendanne den, i stedet for lydløst at generere en tegnebog med en anden, tom saldo. Det er en lille del af designet, men det er grunden til, at en forvrænget backup normalt afslører sig selv med det samme i stedet for at udvikle sig til en langsom katastrofe, der først opdages måneder senere.

Millioner af mønter beviser, at den største risiko ikke er tyveri

På trods af al den opmærksomhed, som et phishing-kup på 282 millioner dollar tiltrækker, er den langt større og mere stille årsag til tabet enklere: folk, der mister adgangen til deres egne ord. Skønnene varierer, men blockchain-analysefirmaet Chainalysis anslår, at hele 23 % af alle udvundne bitcoin (flere millioner BTC ud af de ca. 19,8 millioner, der er udvundet til dato) er permanent utilgængelige, hovedsageligt på grund af glemte fraser, ødelagte sikkerhedskopier og dødsfald uden nogen arveplan for fraserne. Ingen hacker, ingen sikkerhedsbrud, ingen phishing-side – blot en tegnebog, som ingen længere kan åbne, og som indeholder mønter, der aldrig mere vil blive flyttet.

Det er den reelle betydning af en seed-frase, dvs. ikke en adgangskode, man skal huske, men det eneste, ufravigelige bevis på ejerskab af et aktiv uden nogen form for gendannelsesmekanisme. Skrives den forkert ned, fejler den på en sikker måde. Bliver den blot delvist afsløret, bryder sikkerheden hurtigt sammen. Går den helt tabt, uden noget andet at falde tilbage på, ophører den bagvedliggende bitcoin simpelthen med at eksistere for nogen.