Il Bitcoin Red Team individua 4.962 vulnerabilità dopo l'attacco a Coldcard

Una risposta all’exploit di Coldcard

L’exploit del portafoglio hardware Coldcard ha prosciugato i bitcoin (BTC) dei possessori di lungo periodo a causa di un bug del firmware risalente a marzo 2021. Le perdite hanno superato i 116 milioni di dollari, con oltre 1.800 BTC sottratti da più di 5.200 indirizzi.

Quell’episodio ha dato il via a un’iniziativa volontaria denominata Bitcoin Red Team, guidata dallo sviluppatore di BTC Calle insieme a Rob Hamilton, CEO di Anchorwatch, compagnia assicurativa specializzata nella custodia autonoma. Hanno avviato un audit d’emergenza dell’ecosistema open source di Bitcoin in senso lato per verificare se altri portafogli e librerie di codice ampiamente utilizzati presentassero vulnerabilità simili a quella che ha danneggiato gli utenti di Coldcard.

Sedici ricercatori di sicurezza hanno dedicato 27,5 ore a setacciare 390 repository open source relativi a Bitcoin, combinando analisi assistite dall’intelligenza artificiale (IA) con revisioni manuali. Il team ha segnalato un totale di 4.962 vulnerabilità di sicurezza, di cui 85 classificate come critiche e 635 con gravità elevata (con una media di 2,31 vulnerabilità di gravità elevata o critica per ricercatore all’ora).

Il finanziamento per lo sprint è stato fornito da Opensats, un’organizzazione senza scopo di lucro che sostiene lo sviluppo open source di Bitcoin, la quale ha contribuito con quasi 40.000 dollari a sostegno del lavoro dei ricercatori. Calle ha descritto lo stato della sicurezza dell’ecosistema come «estremamente grave».

Gli analisti che hanno seguito l’audit in tempo reale hanno osservato che finora solo circa una scoperta su cinque è stata riprodotta in modo indipendente, a dimostrazione del fatto che molte delle criticità segnalate necessitano ancora di conferma prima che gli sviluppatori possano essere certi della loro reale gravità.

Dove si concentrano le vulnerabilità

Gli strumenti per la privacy e il coinjoin (software progettato per nascondere la traccia delle transazioni in bitcoin sulla blockchain) hanno rappresentato la maggiore concentrazione di problemi gravi, costituendo il 24% dei risultati critici nonostante rappresentassero una quota minore del totale dei progetti esaminati. Le librerie crittografiche, al contrario, hanno generato il numero assoluto più elevato di risultati, pari a 1.101, ma solo un 10% relativamente basso di questi è stato classificato come ad alta gravità, il che suggerisce che il codice sia generalmente più maturo, anche se è proprio quello a essere sottoposto al maggiore scrutinio da parte dei ricercatori.

La maggior parte dei 390 progetti esaminati presentava pochi o nessun problema critico; il vero pericolo sembrava concentrarsi in un insieme più ristretto di strumenti che gestiscono la generazione di chiavi private, la firma e le transazioni a tutela della privacy, la stessa categoria di software all’origine del fallimento iniziale di Coldcard che ha dato il via a tutta questa iniziativa.

Il momento in cui sono state portate alla luce queste informazioni è significativo, dato che la comunità di Bitcoin, orientata all’autocustodia, ha trascorso le ultime due settimane a metabolizzare l’entità delle perdite causate da Coldcard, con gli utenti canadesi che da soli rappresentano circa un quarto dei fondi rubati.

Il futuro va valutato

Il Bitcoin Red Team ha sottolineato che l’audit rappresenta la prima fase di un impegno continuativo piuttosto che un evento isolato, con l’intenzione di esaminare l’arretrato di risultati, confermare quali vulnerabilità siano effettivamente sfruttabili e coordinare la divulgazione responsabile con i progetti interessati prima che qualsiasi dettaglio venga reso pubblico.

Per una comunità orientata all’autocustodia che sta ancora metabolizzando l’entità delle perdite subite da Coldcard, l’audit funge anche da prova del fatto che i ricercatori white-hat stanno ora procedendo a un ritmo più vicino a quello degli aggressori.