Hogyan segítették a Bitcoin hardveres pénztárcák a felhasználókat a Coldcard-válság idején

A Bitcoin.com News megvizsgálta, hogy a 13 legjelentősebb gyártó hogyan kommunikált az X-en – a kriptovalutákkal kapcsolatos hírek fő közösségi média csatornáján – a válság július végén és augusztusban bekövetkezett kitörése óta.

GYORSASÁG ÉS ÉRTELEMZÉSI EGYÉRTELMŰSÉG

A csapatok között eltérések voltak a gyorsaság, az egyértelműség, a segítőkészség, a hangnem, az önreklámozás mértéke, valamint az a tekintetben, hogy napok, sőt hetek múlva is nyomon követték-e az ügyet. Például a Bitkey gyártója, az amerikai székhelyű Block – amely a Coldcard-ügy kezdeti vizsgálatának is része volt – az elsők között figyelmeztette felhasználóit és a szélesebb közösséget a biztonsági résre, és hamarosan követte őt a kanadai székhelyű Blockstream, a Jade gyártója. Másoknak viszont több mint egy napba telt, mire közzétették az üzenetet az X-en. Az iparág egyik vezetője, az európai székhelyű Ledger körülbelül 14 órával a válság kitörése után tájékoztatta követőit az X-en.

A leggyorsabban reagálók azonban nem mindig voltak a legátfogóbbak.

SZÉLESEBB ÖNKEZELÉSI LEHETŐSÉG

Mindkét esetben a pénztárcák kommunikációjában kirajzolódó minták között nagy hangsúlyt fektettek az entrópia generálásának módjára, mivel a csapatok megpróbálták megkülönböztetni magukat a Coldcardtól. Emellett egyes csapatok kiemelték a felhasználó által generált entrópia támogatását, mint a készülék saját véletlenszám-generátorába (RNG) vetett bizalom csökkentésének egyik módját.

Különböző megközelítések voltak arra vonatkozóan is, hogy a zárt és a nyílt forráskódú eszközgyártók hogyan próbálták megnyugtatni felhasználóikat. Az erősebb nyílt forráskódú referenciákkal rendelkező eszközök (Passport Prime, Trezor, Bitbox, Keystone, Blockstream Jade) az ellenőrizhetőségre helyezték a hangsúlyt, míg a zárt forráskódúbb kialakítások (Ledger, Tangem, Ngrave) inkább a tanúsításokra és az auditokra támaszkodtak.

Ezen felül nem minden csapat tárgyalta a többaláírásos (multisig) konfigurációkat strukturális védelmi eszközként, különösen a több gyártótól származó konfigurációk esetében, míg több vállalat is kihasználta az alkalmat, hogy általánosságban népszerűsítse a saját őrzéssel kapcsolatos bevált gyakorlatokat.

SEGÍTSÉG ÉS DICSEKEDÉS

Ami a nyomon követést illeti, a Trezor, a Bitkey, a Bitbox és a Blockstream Jade tűnt ki aktívabbnak, további információkat szolgáltatva, míg a Ledger, a Tangem, a Safepal és az Ngrave viszonylag kevésbé volt aktív ebben a tekintetben.

Emellett nem minden csapat adott gyakorlati áttérési tanácsokat az érintett felhasználóknak; a Foundation (a Passport Prime gyártója), a Bitkey, az Ellipal, a Jade, a Bitbox és a Trezor tűnt ki a megvalósítható útmutatásokkal. Eközben a Foundation és a Trezor is tájékoztatást adott a biztonságot tovább erősítő intézkedéseiről. Úgy tűnik, az Ngrave és az Ellipal használták a legerőteljesebb promóciós kifejezéseket, például a „világ legbiztonságosabbja” vagy az „air-gapped megoldások piacvezetője” kifejezéseket.

Most pedig vessünk egy gyors pillantást az egyes pénztárcák közleményeire. A rangsor a válság idején az X-en közzétett első bejegyzésük alapján készült.

A 13 LEGJOBB BITCOIN-HARDVERES PÉNZTÁRCA REAKCIÓI A COLDCARD-VÁLSÁGRA

Bitkey
Július 30., 22:07 EDT
A Bitkey és gyártója, a Block, proaktív szerepet vállalt a Coldcard-válság korai szakaszában, mivel a Block csapata függetlenül kivizsgálta a lopásokat, és közzétett egy részletes műszaki elemzést, amely megerősítette, hogy a mag nélküli Bitkey pénztárca nem érintett. A közérthető nyelven megfogalmazott egyértelmű magyarázatok és azok a figyelmeztetések mellett, amelyek szerint a sebezhető Coldcard-magok máshová áthelyezésük esetén is veszélyben maradnak, a csapat azt is tanácsolta, hogy ne hozzanak elhamarkodott döntéseket az önkezelés új beállításával kapcsolatban. Egy augusztus közepén közzétett GYIK-ben ismételten hangsúlyozták, hogy a Bitkey-t nem érintette a probléma, nincs szükség semmilyen intézkedésre, és részletesen ismertették a 2-ból-3-as multisig alapvető felépítését. A későbbi kommunikáció a válsággal kapcsolatos ismételt üzenetek helyett a multisig és a helyreállítás termékismereteire helyezte a hangsúlyt.

Blockstream Jade
július 30., 23:20 EDT
Ez a csapat azonnal gondoskodott arról, hogy a Jade magfázisait több független entrópiaforrásból generálják. Emellett közzétett egy gyakorlati blogbejegyzést, amelyben felvázolta az érintett Coldcard-felhasználók számára a négylépéses áttérési folyamatot. A csapat részletesen ismertette a Jade több forrásból származó entrópia-tervezését, és hangsúlyozta annak teljes mértékben nyílt forráskódú jellegét. A későbbi kommunikáció a felhasználói kérdések megválaszolására, a pénztárca biztonsági funkcióinak elmagyarázására, valamint az entrópia offline létrehozásának új módszereinek bejelentésére összpontosított.

Passport Prime
Július 30., 23:33 EDT
A Passport Prime pénztárca gyártója nyilatkozatban reagált, amelyben kijelentette, hogy minden modellje mindig is helyes entrópiát generált, és biztonságos. Ezt részletes technikai bejegyzések követték, amelyek elmagyarázták a Coldcard meghibásodását és a saját, több forrásból származó hardveres entrópia-tervezését. Emellett a csapat megosztott egy további, az incidens utáni áttekintést az entrópia-architektúrájáról. A bejelentett konkrét új intézkedések között szerepelt a további állapotfigyelés a hardverhibákból eredő alacsony entrópiájú magok megelőzése érdekében, egy felhasználóknak szóló entrópia-tesztelő alkalmazás kiadása a Passport Prime-on, valamint az a terv, hogy minden szoftverkiadáskor AI-alapú kódellenőrzési jelentéseket tesznek közzé.

Trezor
július 31., 03:16 EDT
A Trezor biztosította a felhasználókat arról, hogy pénzeszközeik biztonságban vannak, majd hamarosan hozzátette, hogy bárki, aki egy Coldcard által generált magot átvitt egy Trezorra, továbbra is veszélyben van. Ugyanez a figyelmeztetés a többi pénztárca többségénél is megjelenik. Néhány nap múlva a csapat közzétette a pénztárca entrópia-tervezésének műszaki leírását. Ezt követően a kommunikáció augusztus közepéig folytatódott: a cég megerősítette álláspontját, ismételgette az entrópia magyarázatait, az adathalászati figyelmeztetéseket, valamint említette a kockadobásos entrópia-támogatás esetleges bevezetését. Eközben augusztus 13-án a Trezor közölte, hogy közel 14 000 ügyfelét érintette a ShipMonk – a Trezor egyik szállítási szolgáltatója – adatbiztonsági incidense.

OneKey
július 31., 04:24 EDT
Miután megnyugtatta felhasználóit, hogy ezek az eszközök nem érintettek, a OneKey elmagyarázta, hogy az entrópia teljes egészében az eszközön belül keletkezik, független véletlenszám-források kombinálásával. A későbbi közlemények megismételték ugyanazokat a főbb pontokat, beleértve a készüléken belüli kettős entrópiaforrásokat, a tanúsítást, a nyílt forráskódú firmware-t és a biztonsági cég által végzett folyamatos felülvizsgálatot, miközben részletesebb cikkeket is megosztottak, többek között a multisigről vagy arról, hogyan lehet fokozni a magkifejezés biztonságát.

Bitbox
Július 31., 04:52 EDT
Mielőtt július 31-én kiadta volna első érdemi nyilatkozatát, a csapat már egy korábbi, külön szálban is válaszolt, hogy eszközei biztonságosak. A BitBox azt is kifejtette, hogy a seedjei öt független entrópiaforrást kombinálnak. A későbbi bejegyzések részletesen bemutatták az entrópiaforrásokat, amelyeket „mélységi védelemként” határoztak meg, és kiemelték a nyílt forráskódú firmware-t, a belső, AI-támogatott auditokat, a hibajelentési programot, valamint a kézi kockadobásos entrópia támogatását. A BitBox emellett ismertette a többaláírású (multisig) konfiguráció előnyeit és hátrányait. Ettől függetlenül, a Coldcard-tól függetlenül a BitBox nyilvánosságra hozta és kijavította saját firmware-hibáit. Kihasználásról nem érkezett jelentés.

Keystone
július 31., 06:47 EDT
A Keystone korai bejegyzései az entrópia-előállításukat tárgyalták anélkül, hogy megemlítették volna a Coldcard-válságot, de ezeket augusztus 4-én egy újabb nyilatkozat követte, amely megerősítette, hogy a belső ellenőrzések során minden Keystone-eszközt biztonságosnak találtak. Később a csapat részletesen ismertetette az eszköz tervezését, hangsúlyozva, hogy az entrópia-előállítási folyamatot minden szakaszában ellenőrizték. Két opcionális megoldást is felajánlottak, például a BIP-39 jelszó hozzáadását vagy az eszköz kockadobás funkciójának használatát. Az augusztus elejéig érkező válaszok a több forrásból származó tervezésre és a kockadobás/jelszó opciókra összpontosítottak, miközben a felhasználókat a nyílt forráskódú firmware-re és a nyilvános auditjelentésekre is irányították független ellenőrzés céljából.

Ledger
július 31., 12:16 EDT
Miután a Ledger egy első üzenetben kijelentette, hogy a Coldcard-probléma nem érintette őket – hivatkozva a biztonsági elembe beépített, tanúsított valódi véletlenszám-generátorra –, augusztus 2-án Charles Guillemet, a cég technológiai igazgatója részletesebb magyarázatot adott. A követő közleményekben a csapat a technológiájukban meglévő különbségekre helyezte a hangsúlyt, emellett útmutatást nyújtott a multisig használatához, figyelmeztetve arra, hogy a bonyolultabb tárolási konfigurációk nagyobb kockázattal járhatnak, és egyéb megoldásokat is felkínált, mint például a Miniscript és a MuSig2, egy kétkörös bitcoin többaláírásos protokoll. Ezen felül a csapat beszámolt arról is, hogyan készülnek fel a mesterséges intelligencia által felgyorsított biztonsági támadásokra. Bár maga a Ledger nem szenvedett el biztonsági incidenst, ügyfeleit két, harmadik felek által okozott személyes adat szivárgás érintette.

Tangem
július 31., 15:08 EDT
A Tangem is gyorsan hangsúlyozta, hogy ez a seed nélküli eszköz a Coldcardtól teljesen különálló kódon fut. Augusztusban a Tangem azzal érvelt, hogy a biztonság nem csupán a nyílt forráskódból fakad, hanem az architektúrából, a tesztelésből és a független ellenőrzésből is. Emellett közzétett egy magyarázatot arról is, hogy a seed-eket célzó kártevő programok miért nem működnek a Tangem ellen. A csapat későbbi üzenetei főként az architektúrára és a tanúsításra összpontosítottak.

Ellipal
augusztus 1., 07:21 EDT
Az Ellipal nemcsak megnyugtatta felhasználóit, hanem arra is felhívta őket, hogy ne csak bízzanak, hanem ellenőrizzék is a rendszert, mivel a készülék elfogadja a felhasználó által saját maga generált seedet. Emellett közzétett egy magyarázatot arról, hogyan lehet függetlenül ellenőrizni a véletlenszerűséget. Két nappal később seed-biztonsági eszközöket osztott szét ingyenesen. A későbbi bejegyzésekben a technikai magyarázatokra helyezte a hangsúlyt, míg augusztus 5-én átállási ellenőrzőlistát tett közzé azoknak a felhasználóknak, akik a Coldcardon hoztak létre magot. Az Ellipal emellett aktívan figyelmeztette felhasználóit a phishing-kísérletekre, sőt, megosztott egy bejegyzést versenytársától, a Ledgertől is, amely a nyílt forráskódú hardverekről szólt.

Safepal
Augusztus 1., 14:14 EDT
A SafePal is arra összpontosított, hogy megkülönböztesse magát a Coldcardtól, kijelentve, hogy ez a pénztárca a pénztárca létrehozásának pillanatában vonja le az entrópiát, ahelyett, hogy egyetlen chipre vagy forrásra támaszkodna. Sok más pénztárcához hasonlóan ők is figyelmeztettek az adathalász kísérletekre. Augusztus 1-jei bejegyzésük és blogbejegyzésük lényegében az egész válasz volt, később csak egy bejegyzést osztottak meg a jelszavakról. Augusztus 16-án azonban a vállalat nyilvánosságra hozta, hogy közel 40 000 ügyfelüket érintette egy adatbiztonsági incidens.

Ngrave
Augusztus 1., 15:43 EDT
Az Ngrave a „Perfect Key” generálási folyamatára helyezte a hangsúlyt, amely több kriptográfiai technikát, air-gap generálást és a felhasználó saját ujjlenyomatát ötvözi. Később folyamatosan emlékeztette a felhasználókat arra, hogy egyetlen kulcsgeneráló forrásra támaszkodni egyetlen hibaforrást jelent. Arra is felkérte a felhasználókat, hogy maguk is ellenőrizzék a rendszer kialakítását. Emellett a csapat közölte, hogy „különféle LLM-alapú kibervédelmi értékeléseket alkalmaz, a világ legkorszerűbb modelljeit felhasználva a felhasználók pénzeszközeinek biztonsága érdekében”, és bejelentette az ügyféladatok törlési programját.

KeepKey
augusztus 1., 16:25 EDT
A KeepKey közzétette fejlesztőjének technikai elemzését, és hivatkozott egy KeepKey-blogbejegyzésre is, amelyben részletesen tárgyalta, kik voltak veszélyben, milyen lépéseket kell tenni az áttéréshez, és miért nem nyújt védelmet az ilyen típusú meghibásodások ellen a kizárólag Coldcard-on alapuló multisig. Ez volt az egyetlen bejegyzés a KeepKey részéről a Coldcard-válság kezdete óta, mivel ez a csapat nem túl aktív az X-en.

Összegzésképpen elmondható, hogy a Coldcard-válság nemcsak új biztonsági tanulságokkal szolgált a hardveres pénztárca-gyártók számára, hanem – remélhetőleg – kommunikációjuk is tovább fog javulni, ha bekövetkezik a következő válság.

A Bitcoin.com News felvette a kapcsolatot az összes érintett csapattal, hogy véleményüket kérje, és közzé fogja tenni a válaszaikat, amennyiben azok beérkeznek.