ביטויי זרע: 12 המילים שעומדות בינך לבין לאבד הכול

המילים אינן סיסמה. הן הכסף.

ביטוי זרע, בדרך כלל 12 או 24 מילים שנבחרות מתוך רשימה סטנדרטית של 2,048, אינו פרטי התחברות שמגבילים גישה לכספים שיושבים איפשהו אחר. מבחינה מתמטית הוא הארנק. כל אחת מהמילים מקודדת חתיכה של אנטרופיה גולמית שאלגוריתם דטרמיניסטי (המוגדר בתקן שנקרא BIP39) ממיר למפתח פרטי ראשי, וכל כתובת ביטקוין שארנק אי פעם יצר או אי פעם ייצור נגזרת מאותו מפתח יחיד.

אין מאגר נתונים של חברה שמחזיק עותק, אין מוקד שירות לקוחות שיכול לאתר אחד שנשכח, ואין תהליך “שכחתי סיסמה”. מי שיכול להציג את המילים שולט בכל מטבע שהמילים הללו יכולות לגזור (מיידית וללא אפשרות חזרה).

בדיוק לכן הגניבה בינואר הצליחה בלי שום ניצול טכני בכלל. חברת הפורנזיקה הבלוקצ’יינית ZeroShadow, שסייעה להתחקות אחר הכספים הגנובים לאחר מכן, תיארה זאת ככזה שנבע “מהנדסה חברתית ולא מכל פגיעה בתוכנת הארנק או בתשתית המפתחות הפרטיים”.

התוקף לא היה צריך לפרוץ שום דבר. הוא רק היה צריך שהקורבן יקליד 12 מילים במקום הלא נכון, ואז פעל במהירות: כ-139 מיליון דולר בביטקוין וכ-153 מיליון דולר בלייטקוין פוצלו על פני גשרים של THORChain, הועברו דרך שירותי החלפה מיידית למונרו, ונערמו באמצעות העברות peel-chain בתוך דקות.

צוות הניטור של ZeroShadow הצליח לסמן ולהקפיא כ-700,000 דולר מתוכם בתוך 20 דקות — הצלה חלקית נדירה, ותזכורת לכמה קטן בדרך כלל החלק מגניבת ביטוי זרע שניתן בכלל להשיב.

למה 12 מילים הן למעשה מספר עצום

כל מילת BIP39 נושאת 11 ביטים של אנטרופיה, משום שרשימת המילים כוללת בדיוק 2,048 (2^11) ערכים. ביטוי בן 12 מילים נושא בערך 128 ביטים של אנטרופיה כוללת לאחר שמביאים בחשבון סכום ביקורת מובנה, וביטוי בן 24 מילים נושא 256 ביטים.

אלה לא רק מספרים “גדולים יותר” מסיסמה טיפוסית — הם גדולים באופן אסטרונומי. ניסיון כוח גס על כל הצירופים האפשריים של ביטוי מלא בן 12 מילים, אפילו בקצב נדיב מאוד של מיליארד ניחושים לשנייה, היה לוקח בסדר גודל של 10^22 שנים. גיל היקום הוא כ-13.8 מיליארד שנים.

אין כמות מציאותית של כוח מחשוב עתידי שמצמצמת את הפער הזה; ניחוש ביטוי זרע מלא ולא ידוע אינו סיכון שמישהו צריך לתכנן סביבו.

הסכנה היא לעולם לא המתמטיקה אלא החשיפה. אם אפילו קומץ מהמילים דולף, או שתוקף לומד חלק מהן מתמונה, מגיבוי ענן או מהונאת התחזות לתמיכה, מרחב החיפוש הנותר קורס באופן קטסטרופלי במקום להצטמצם בהדרגה. התרשים למעלה מראה למה: כאשר 6 מתוך 12 מילים כבר ידועות, פיצוח השאר עדיין היה לוקח לפי ההערכה 1,169 שנים באותו קצב ניחוש (עדיין בטוח).

אבל כאשר ידועות 7 מילים, המספר הזה יורד לפחות משנה. כאשר ידועות 8 מילים, זה כמה שעות. כאשר ידועות 10 או 11 מילים, זה מילישניות. האבטחה אינה מתדרדרת בקו ישר ככל שמילים דולפות; היא נופלת מצוק — וזה בדיוק למה “רק שש המילים הראשונות” או “חצי מהביטוי שלי” אינו דבר שבאמת בטוח יותר לחשוף מאשר את כולו.

המאפיין האחד שנבנה כדי לתפוס טעויות, לא תוקפים

סכום הביקורת של BIP39 קיים מסיבה יומיומית בהרבה מאשר אבטחה מפני ניחוש: הוא תופס שגיאות הקלדה. המילה האחרונה בביטוי זרע אינה אקראית לגמרי; כמה מהביטים שלה הם סכום ביקורת שמחושב מהיתר, כך שארנק יכול לאמת שהביטוי הועתק נכון.

כתבו מילה אחת לא נכון, ויש סיכוי גבוה מאוד שהארנק יסמן את הביטוי כבלתי תקף ברגע שתנסו לשחזר אותו, במקום לייצר בשקט ארנק עם יתרה אחרת וריקה. זה חלק קטן מהעיצוב, אבל זו הסיבה שגיבוי משובש בדרך כלל מכריז על עצמו מיידית במקום להפוך לאסון בהילוך איטי שמתגלה חודשים לאחר מכן.

מיליוני מטבעות מוכיחים שהסיכון הגדול יותר אינו גניבה

עם כל תשומת הלב ששוד פישינג של 282 מיליון דולר מושך, הסיבה הגדולה בהרבה ושקטה יותר לאובדן פשוטה יותר: אנשים מאבדים גישה למילים של עצמם. ההערכות משתנות, אך חברת האנליטיקה לבלוקצ’יין Chainalysis הציבה את הנתון עד 23% מכל הביטקוין שנכרה (כמה מיליוני BTC מתוך כ-19.8 מיליון שנכרו עד כה) כבלתי נגיש לצמיתות, בעיקר בגלל ביטויים שנשכחו, גיבויים שנהרסו ומקרי מוות ללא תוכנית ירושה למילים. בלי האקר, בלי פרצה, בלי עמוד פישינג — רק ארנק שאיש כבר לא יכול לפתוח, שמחזיק מטבעות שלא יזוזו עוד לעולם.

זהו המשקל האמיתי של ביטוי זרע, כלומר לא סיסמה שיש לזכור, אלא הוכחת הבעלות היחידה, הבלתי ניתנת למשא ומתן, על נכס שאין לו שום מנגנון שחזור. אם נכתב לא נכון, הוא נכשל באופן בטוח. אם נחשף אפילו חלקית, האבטחה קורסת במהירות. ואם אבד לגמרי, בלי שום דבר אחר להישען עליו, הביטקוין שמאחוריו פשוט מפסיק להתקיים עבור כל אדם.