A mesterséges intelligencia fedezte fel a Coldcard biztonsági rést?

Egy összehangolt támadás több száz pénztárcát ürített ki

Az eset akkor került nyilvánosságra, amikor július 30-án körülbelül 594 BTC – amelynek értéke akkor közel 38 millió dollár volt – került át mintegy 500 egyaláírásos bitcoin-címről. Amikor a hír először napvilágra került, a Bitcoin.com News megjegyezte, hogy az átutalások körülbelül 25 perc alatt történtek, és úgy tűnt, hogy olyan pénztárcákat céloztak meg, amelyek közös technikai sebezhetőséggel rendelkeztek.

Későbbi blokklánc-elemzések kiterjesztették a lopás lehetséges mértékét. A kutatók becslése szerint körülbelül 41 perces időtartam alatt 1 082 és 1 196 közötti cím lehetett érintett. Egy Coldcard Sweep Watch nevű egyedi irányítópult ezt követően az összeget 1 128,4717 BTC-re becsülte, ami körülbelül 71,1 millió dollárnak felelt meg, amikor a bitcoin ára 63 044 dollár körül mozgott.

A pénzeszközök nagy részét egy, több száz bitcoint tároló címre konszolidálták, ahol egy jelentős részük lényegében mozdulatlan maradt. Az érintett címeket egy fontos részlet kötötte össze: helyreállítási magjaikat a kanadai Coinkite cég által gyártott Coldcard hardveres pénztárcákon hozták létre.

A helyreállítási mag egy szavakból álló lista, amely a kriptovaluta-pénztárcához való hozzáférést szabályozza. Aki rekonstruálja vagy megszerez ezt a magot, az általában a fizikai eszköz birtoklása nélkül is mozgathatja a pénztárca pénzeszközeit.

A Coldcard hibás véletlenszám-generáló rendszert fedezett fel

A Coinkite sürgős figyelmeztetést adott ki, amelyben arra hívta fel a figyelmet, hogy a Coldcard-eszközökön generált bizonyos magok gyengék lehetnek. A legnagyobb kockázatnak a 2021 márciusában kiadott 4.0.1-es firmware-verziót futtató Mk3-eszközök, valamint az azoknál újabb verziók voltak kitéve.

További elemzések kiterjesztették az aggodalmat egyes Mk4, Mk5 és Q eszközökön létrehozott magokra is, még mielőtt a Coinkite kiadta volna a sürgősségi firmware-javításokat. A Tapsigner, az Opendime és a Satscard termékei állítólag nem érintettek, mivel más szoftvert használnak.

A hiba a véletlenszerű adatok generálására használt folyamatot érintette. A biztonságos pénztárcák a magas színvonalú véletlenszerűségre támaszkodnak, hogy helyreállítási magjaikat ne lehessen kitalálni. A legsúlyosabban érintett Mk3-es eszközök esetében a kutatók becslése szerint a mag a tervezett 128 bit helyett csupán körülbelül 40 bit tényleges véletlenszerűséget tartalmazhatott.

Ez a különbség kritikus jelentőségű. Egy megfelelően generált 128 bites magot gyakorlatilag lehetetlen kitalálni brute force támadással. Egy 40 bites mag drámaian kevesebb lehetőséget kínál, lehetővé téve egy elegendő számítási teljesítménnyel rendelkező támadó számára, hogy offline módon tesztelje a lehetséges magokat, és összehasonlítsa a kapott címeket a nyilvános Bitcoin blokklánccal.

Egyes újabb eszközök körülbelül 72 bitnyi tényleges véletlenszerűséget biztosíthattak, mivel a biztonságos hardver egy további, kiszámíthatatlan adatréteget adott hozzá. Ez megnehezítené a magok rekonstruálását, bár azok így is jóval gyengébbek lennének a tervezettnél.

Egy konfigurációs hiba 5 évig fennmaradt

A probléma egy fordítási fázisban elkövetett konfigurációs hibával kezdődött, amely két, hasonló feladatot végző szoftverfunkciót érintett. Az egyik funkció az eszköz hardveralapú, valódi véletlenszám-generátorát használta, míg a másik a MicroPythonból örökölt, gyengébb szoftveres eljárásra támaszkodott.

A Coinkite célja az volt, hogy letiltsa a MicroPython-opciót. A szoftveres ellenőrzés azonban csak azt vizsgálta, hogy definiálták-e a konfigurációs címkét, nem pedig azt, hogy az értékét nullára állították-e. Ennek eredményeként a kész firmware észrevétlenül kiválaszthatta a gyengébb funkciót.

Mivel a két funkció formátuma megegyezett, a szoftver továbbra is lefordult és futott anélkül, hogy nyilvánvaló hibát jelezett volna. A hiba egy 2021-es szoftveres áttérés során került a kódba, és több mint öt éven át megmaradt a nyilvánosan elérhető firmware-ben.

Az eszköz mostani frissítése nem erősíti meg azt a magot, amelyet a hibás szoftver generált. Az érintett felhasználóknak teljesen új magot kell létrehozniuk a kijavított firmware segítségével vagy egy másik biztonságos eszközön, majd át kell helyezniük pénzeszközeiket az új mag által ellenőrzött címekre.

Azok a felhasználók, akik a seed létrehozása során legalább 50 független kockadobást adtak hozzá, elegendő extra véletlenszerűséget biztosíthattak a sebezhetőség elkerüléséhez. Egy erős BIP-39 jelszó szintén megnehezíthette volna a rekonstruálást, míg a több független eszköz aláírását igénylő pénztárcák megakadályozhatták volna, hogy egy kompromittált seed egyedül mozgassa a pénzeszközöket.

A Coinkite az AI-ra hivatkozik, de a bizonyíték továbbra is hiányzik

Rodolfo Novak, a Coinkite vezérigazgatója nyilvánosan bocsánatot kért, és kijelentette, hogy a vállalat teljes felelősséget vállal a firmware-hibaért. Elmondta, hogy a csapat a hibajavított szoftveren, a műszaki jelentéseken és az érintett felhasználók támogatásán dolgozik.

A Coinkite és Novak egy figyelemre méltó elméletet is felvetett a hiba felfedezésének módjáról. Mivel a firmware évek óta nyilvánosan elérhető volt, a vállalat szerint lehetséges, hogy valaki mesterséges intelligenciát használt a kód régebbi verzióinak vizsgálatára és a gyenge véletlenszerűségi útvonal felkutatására.

„Minden más fejlesztőnek: úgy véljük, ez az új mesterséges intelligencia-paradigma szomorú valósága. A mesterséges intelligenciával támogatott kódfelülvizsgálat ma már olyan sebességgel képes rejtett hibákat felderíteni, amely még az iparág legtapasztaltabb szakértőit is felülmúlja” – írta Novak az X-en közzétett bocsánatkérő bejegyzésében. „Ha a firmware-je nyílt forráskódú, vagy valaha is nyilvánosan elérhető volt, akkor feltételezheti, hogy azt már mind a támadók, mind a védelem szakemberei átnézték.”

A mai modern AI-alapú kódrendszerek képesek nagy szoftver-repozitóriumokat feldolgozni, és azonosítani a konfigurációs beállítások, funkciók és biztonsági feltételezések közötti gyanús összefüggéseket. Egy támadó megkérhet egy ilyen rendszert, hogy kifejezetten keressen gyenge véletlenszám-generátorokat, tartalékfunkciókat vagy a kriptográfiai kulcsokat érintő hibákat.

Független kutatók később arról számoltak be, hogy MI-modelleket használtak a probléma felkutatására vagy magyarázatára, miután az alapul szolgáló véletlenszerűségi probléma ismertté vált. Ez jól mutatja, mennyire hozzáférhetővé vált az MI-támogatott kódelemzés, de nem bizonyítja, hogy az eredeti támadó is MI-t használt.

A Coinkite elismerte, hogy a vezető mesterséges intelligencia-modellel végzett saját vizsgálata nem fedezte fel a hibát a lopás előtt. Ez az eredmény azt mutatja, hogy a mesterséges intelligencia-rendszerek nem fedeznek fel automatikusan minden súlyos hibát. Teljesítményük függhet a kapott utasításoktól, a rendelkezésre álló kód mennyiségétől, valamint attól, hogy az emberi ellenőr megérti-e a figyelmeztető jeleket.

A kritikusok szerint az emberi hiba volt az elsődleges ok

Egyes biztonsági szakértők azzal érvelnek, hogy a mesterséges intelligenciára (AI) való túlzott összpontosítás azzal a kockázattal jár, hogy eltereli a figyelmet egy alapvető mérnöki hibáról. Sokan úgy vélik, hogy a konfigurációs hiba egy ismert típusú szoftverhiba volt, és a hagyományos kódvizsgálatok, tesztelési eljárások vagy a maggenerálásra összpontosító auditok már évekkel korábban felderíthették volna.

Az egymással ellentétes nézetek nem feltétlenül összeegyeztethetetlenek. Egy emberi hiba okozta a sebezhetőséget és tette lehetővé annak fennmaradását, míg a mesterséges intelligencia valószínűleg csökkentette annak felderítésével, megértésével vagy kihasználásával járó költségeket. A védelemnek minden veszélyes gyenge pontot azonosítania kell, míg a támadónak csak egyet kell megtalálnia.

Az eset az open-source biztonsággal kapcsolatos feltételezéseket is megkérdőjelezi. A nyilvános kód lehetővé teszi független szakértők számára a szoftver vizsgálatát, de a hozzáférhetőség önmagában nem garantálja, hogy valaki átnézi a megfelelő részt, felismer egy finom hibát, és jelentést tesz róla, mielőtt a támadó cselekedne.

A Coldcard-felhasználók számára azonnali prioritás annak megállapítása, hogy mikor és hogyan jött létre a magjuk. Akinek érintett a magja, annak a Coinkite hivatalos csatornáin keresztül kell ellenőriznie az utasításokat, telepítenie kell a javított firmware-t, létre kell hoznia egy új magot, és óvatosan kell átutalnia a pénzeszközöket, miközben figyelnie kell az adathalász kísérletekre és a hamis ügyfélszolgálati üzenetekre.

A hosszabb távú kérdések arra fognak összpontosulni, hogy mennyi bitcoint vittek el, a nyomozók képesek-e azonosítani a támadót, és játszott-e döntő szerepet a mesterséges intelligencia a hiba felfedezésében. A hardveres pénztárca-gyártókra is nyomás nehezedik majd, hogy erősítsék az entrópia-tesztelést, ellenőrizzék a build-konfigurációkat, és folyamatosan vizsgálják a régi kódot mind emberi szakértők, mind ellenséges mesterséges intelligencia-eszközök segítségével.