Oliko tekoäly vastuussa Coldcardin tietoturva-aukon löytämisestä?

Koordinoitu varojen tyhjentäminen tyhjensi satoja lompakoita

Tapaus tuli julkisuuteen, kun noin 594 BTC:tä, joiden arvo oli tuolloin lähes 38 miljoonaa dollaria, siirrettiin 30. heinäkuuta noin 500 yksisignatuurisesta bitcoin-osoitteesta. Kun uutinen tuli ensimmäisen kerran julki, Bitcoin.com News totesi, että siirrot tapahtuivat noin 25 minuutin kuluessa ja näyttivät kohdistuvan lompakkoihin, joilla oli yhteinen tekninen heikkous.

Myöhemmät lohkoketjututkimukset laajensivat varkauden mahdollista laajuutta. Tutkijat arvioivat, että noin 41 minuutin aikana vaikutuksen kohteena saattoi olla 1 082–1 196 osoitetta. Myöhemmin Coldcard Sweep Watch -niminen räätälöity hallintapaneeli arvioi varastettujen varojen kokonaismääräksi 1 128,4717 BTC:tä, jonka arvo oli noin 71,1 miljoonaa dollaria, kun bitcoinin kurssi oli lähellä 63 044 dollaria.

Suurin osa varoista koottiin yhteen osoitteeseen, jossa oli satoja bitcoineja, ja suuri osa niistä pysyi pääosin liikkumattomana. Kyseisiä osoitteita yhdisti yksi tärkeä seikka: niiden palautusluku oli luotu kanadalaisen Coinkite-yhtiön valmistamissa Coldcard-laitteistolompakoissa.

Palautusavain on sanaluettelo, joka hallitsee pääsyä kryptovaluuttalompakkoon. Kuka tahansa, joka pystyy rekonstruoimaan tai hankkimaan kyseisen avaimen, voi yleensä siirtää lompakon varoja ilman, että hänellä on fyysistä laitetta hallussaan.

Coldcard löysi puutteellisen satunnaistamisjärjestelmän

Coinkite julkaisi kiireellisen varoituksen, jonka mukaan tietyt Coldcard-laitteilla luodut palautusavainlistan sanat saattoivat olla heikkoja. Suurimmassa vaarassa olivat Mk3-laitteet, joissa oli käytössä noin maaliskuussa 2021 julkaistu laiteohjelmistoversio 4.0.1 tai uudempi.

Lisäanalyysin myötä huoli laajeni koskemaan myös joitakin Mk4-, Mk5- ja Q-laitteilla luotuja siemeniä, ennen kuin Coinkite julkaisi kiireelliset laiteohjelmistokorjaukset. Tapsigner-, Opendime- ja Satscard-tuotteet eivät tiettävästi olleet vaarassa, koska ne käyttävät erilaista ohjelmistoa.

Haavoittuvuus liittyi satunnaistietojen luomiseen käytettyyn prosessiin. Turvalliset lompakot ovat riippuvaisia korkealaatuisesta satunnaisuudesta, jotta niiden palautusavainta ei voida arvata. Pahiten vaikutuksen kohteeksi joutuneissa Mk3-laitteissa tutkijat arvioivat, että avain saattoi sisältää vain noin 40 bittiä tehokasta satunnaisuutta tarkoitetun 128 bitin sijaan.

Tämä ero on ratkaiseva. Oikein luotua 128-bittistä siementä pidetään käytännössä mahdottomana arvata brute force -menetelmällä. 40-bittinen siemen tarjoaa huomattavasti vähemmän mahdollisuuksia, jolloin riittävän laskentatehon omaava hyökkääjä voi testata mahdollisia siemeniä offline-tilassa ja verrata tuloksena saatuja osoitteita julkiseen Bitcoin-lohkoketjuun.

Jotkut uudemmat laitteet ovat saattaneet tarjota noin 72 bittiä tehokasta satunnaisuutta, koska turvallinen laitteisto lisäsi toisen kerroksen arvaamattomia tietoja. Tämä tekisi siemenien rekonstruoinnista vaikeampaa, vaikka ne olisivatkin edelleen paljon heikompia kuin oli tarkoitettu.

Yksi konfiguraatiovirhe säilyi huomaamatta viiden vuoden ajan

Ongelma alkoi rakennusvaiheessa tehdystä konfiguraatiovirheestä, joka koski kahta samankaltaisia tehtäviä suorittavaa ohjelmistotoimintoa. Toinen toiminto käytti laitteen laitteistopohjaista todellista satunnaislukugeneraattoria, kun taas toinen nojautui MicroPythonista perittyyn heikompaan ohjelmistoprosessiin.

Coinkiten tarkoituksena oli poistaa MicroPython-vaihtoehto käytöstä. Ohjelmistotarkistus tarkisti kuitenkin vain, oliko konfiguraatiomerkintä määritelty, eikä sitä, oliko sen arvoksi asetettu nolla. Tämän seurauksena valmis laiteohjelmisto saattoi huomaamatta valita heikomman toiminnon.

Koska molempien toimintojen formaatit olivat yhteneväiset, ohjelmisto jatkoi kääntymistä ja toimintaa ilman, että siitä aiheutui ilmeistä virhettä. Virhe pääsi koodiin noin vuonna 2021 tehdyn ohjelmistosiirtymän yhteydessä ja säilyi julkisesti saatavilla olevassa laiteohjelmistossa yli viiden vuoden ajan.

Laitteen päivittäminen nyt ei vahvista siementä, joka on luotu virheellisen ohjelmiston alla. Asianomaiset käyttäjät joutuvat luomaan täysin uuden siemenen korjatun laiteohjelmiston tai toisen turvallisen laitteen avulla ja siirtämään varansa sitten kyseisen uuden siemenen hallinnoimiin osoitteisiin.

Käyttäjät, jotka lisäsivät siemenensä luomisen yhteydessä vähintään 50 erillistä noppaluvun heittoa, ovat saattaneet tuoda mukaan riittävästi ylimääräistä satunnaisuutta tämän heikkouden välttämiseksi. Vahva BIP-39-salasana olisi myös voinut vaikeuttaa siemenen rekonstruointia, kun taas lompakot, jotka vaativat allekirjoituksia useilta erillisiltä laitteilta, olisivat saattaneet estää yhden vaarantuneen siemenen siirtämästä varoja yksinään.

Coinkite viittaa tekoälyyn, mutta todisteita ei ole vielä esitetty

Coinkiten toimitusjohtaja Rodolfo Novak pyysi julkisesti anteeksi ja sanoi, että yritys ottaa täyden vastuun laiteohjelmiston virheestä. Hän kertoi, että tiimi työskentelee korjatun ohjelmiston, teknisten raporttien ja asianomaisten käyttäjien tuen parissa.

Coinkite ja Novak esittivät myös silmiinpistävän teorian siitä, miten virhe löydettiin. Koska laiteohjelmisto oli ollut julkisesti saatavilla jo vuosia, yritys arvioi, että joku saattoi käyttää tekoälyä vanhempien koodiversioiden tutkimiseen ja heikon satunnaisuuspolun paikantamiseen.

”Kaikille muille kehittäjille: uskomme, että tämä on uuden tekoälyparadigman karu todellisuus. Tekoälyn avustama koodin tarkastus pystyy nyt löytämään piileviä virheitä nopeudella, joka ylittää jopa alan kokeneimpien asiantuntijoiden vauhdin”, Novak kirjoitti X:ssä julkaistussa anteeksipyynnössään. ”Jos laiteohjelmistosi on avoimen lähdekoodin tai se on koskaan ollut julkisesti saatavilla, oletetaan, että sekä hyökkääjät että puolustajat ovat jo lukeneet sitä.”

Nykypäivän modernit tekoälypohjaiset koodausjärjestelmät pystyvät käsittelemään suuria ohjelmistovarastoja ja tunnistamaan epäilyttäviä yhteyksiä konfiguraatioasetusten, toimintojen ja turvallisuusoletusten välillä. Hyökkääjä voisi pyytää tällaista järjestelmää etsimään erityisesti heikkoja satunnaislukugeneraattoreita, varatoimintoja tai salausavaimiin vaikuttavia virheitä.

Riippumattomat tutkijat kertoivat myöhemmin käyttäneensä tekoälymalleja ongelman paikantamiseen tai selittämiseen sen jälkeen, kun taustalla oleva satunnaisuusongelma oli tullut tiedoksi. Tämä osoitti, kuinka helposti saatavilla tekoälyavusteinen koodianalyysi on nykyään, mutta se ei todistanut, että alkuperäinen hyökkääjä olisi käyttänyt tekoälyä.

Coinkite myönsi, että sen oma, johtavaa tekoälymallia käyttänyt tarkastus ei onnistunut paljastamaan puutetta ennen varkautta. Tämä tulos osoittaa, että tekoälyjärjestelmät eivät löydä automaattisesti kaikkia vakavia puutteita. Niiden suorituskyky voi riippua niille annetuista ohjeista, toimitettujen koodimäärien suuruudesta sekä siitä, ymmärtääkö ihmistarkastaja varoitusmerkit.

Kriitikot sanovat, että inhimillinen virhe oli ensisijainen syy

Jotkut tietoturva-asiantuntijat väittävät, että liian voimakas keskittyminen tekoälyyn (AI) voi viedä huomion pois perustavanlaatuisesta teknisestä virheestä. Monet uskovat, että konfiguraatiovirhe oli tunnettu ohjelmistovirhe, ja perinteiset kooditarkastukset, testausmenettelyt tai siemenarvon luomiseen keskittyvät auditoinnit olisivat voineet havaita sen jo vuosia aiemmin.

Vastakkaiset näkemykset eivät välttämättä ole keskenään ristiriidassa. Ihmisvirhe loi haavoittuvuuden ja antoi sen jatkua, kun taas tekoäly on saattanut alentaa sen löytämisen, ymmärtämisen tai hyödyntämisen kustannuksia. Puolustajien on tunnistettava jokainen vaarallinen heikkous, kun taas hyökkääjän tarvitsee löytää vain yksi.

Tapaus kyseenalaistaa myös oletuksia avoimen lähdekoodin turvallisuudesta. Julkinen koodi antaa riippumattomille asiantuntijoille mahdollisuuden tarkastaa ohjelmistoa, mutta saatavuus yksinään ei takaa, että joku tarkistaa oikean osan, tunnistaa hienovaraisen virheen ja ilmoittaa siitä ennen kuin hyökkääjä ehtii toimia.

Coldcard-käyttäjille ensisijaisena tehtävänä on selvittää, milloin ja miten heidän siemenluku on luotu. Kaikkien, joiden siemenluku on vaarantunut, on tarkistettava ohjeet virallisten Coinkite-kanavien kautta, asennettava korjattu laiteohjelmisto, luotava uusi siemenluku ja siirrettävä varoja varovasti samalla kun varotaan tietojenkalasteluyrityksiä ja väärennettyjä tukiviestejä.

Pidemmällä aikavälillä keskeisiä kysymyksiä ovat, kuinka paljon bitcoineja on varastettu, pystyvätkö tutkijat tunnistamaan hyökkääjän ja oliko tekoälyllä ratkaiseva rooli virheen löytämisessä. Laitteistolompakkoyritykset joutuvat myös paineen alle vahvistaa entropiatestausta, tarkastaa rakennuskonfiguraatioita ja tutkia jatkuvasti vanhaa koodia sekä ihmisasiantuntijoiden että vastustavan tekoälyn työkalujen avulla.