Was AI verantwoordelijk voor het ontdekken van het beveiligingslek in Coldcard?

Een gecoördineerde roofactie leegde honderden wallets

Het incident kwam aan het licht nadat op 30 juli ongeveer 594 BTC, destijds ter waarde van bijna $38 miljoen, werd overgeheveld vanaf zo’n 500 bitcoin-adressen met één handtekening. Toen het nieuws voor het eerst bekend werd, merkte Bitcoin.com News op dat de overboekingen binnen ongeveer 25 minuten plaatsvonden en gericht leken te zijn op wallets met een gemeenschappelijke technische kwetsbaarheid.

Latere analyses van de blockchain wezen op een mogelijk grotere omvang van de diefstal. Onderzoekers schatten dat tussen de 1.082 en 1.196 adressen mogelijk zijn getroffen gedurende een periode van ongeveer 41 minuten. Een speciaal dashboard, genaamd Coldcard Sweep Watch, stelde het totaal vervolgens vast op 1.128,4717 BTC, ter waarde van ongeveer 71,1 miljoen dollar toen de bitcoinkoers rond de 63.044 dollar schommelde.

Het grootste deel van de middelen werd samengevoegd in een adres dat honderden bitcoin bevatte, waar een groot deel grotendeels onbeweeglijk bleef. De betrokken adressen hadden één belangrijk detail gemeen: hun herstelzaden waren aangemaakt op Coldcard-hardwareportefeuilles, vervaardigd door het Canadese bedrijf Coinkite.

Een herstelcode is een lijst met woorden die de toegang tot een cryptovaluta-portemonnee regelt. Iedereen die die code kan reconstrueren of verkrijgen, kan doorgaans het geld uit de portemonnee verplaatsen zonder het fysieke apparaat in bezit te hebben.

Coldcard ontdekt een gebrekkig willekeurigheidssysteem

Coinkite bracht een dringende waarschuwing uit dat bepaalde seeds die op Coldcard-apparaten waren gegenereerd, mogelijk kwetsbaar waren. Mk3-apparaten met firmwareversie 4.0.1, uitgebracht rond maart 2021, en latere versies behoorden tot de apparaten die het grootste risico liepen.

Nader onderzoek breidde de bezorgdheid uit naar seeds die waren aangemaakt op sommige Mk4-, Mk5- en Q-apparaten, voordat Coinkite noodfirmware-updates uitbracht. Producten van Tapsigner, Opendime en Satscard zouden niet zijn getroffen, omdat ze andere software gebruiken.

De kwetsbaarheid had betrekking op het proces dat wordt gebruikt om willekeurige gegevens te genereren. Veilige wallets zijn afhankelijk van willekeurigheid van hoge kwaliteit, zodat hun herstelseeds niet kunnen worden geraden. Bij de het zwaarst getroffen Mk3-apparaten schatten onderzoekers dat de seed mogelijk slechts ongeveer 40 bits aan effectieve willekeurigheid bevatte in plaats van de beoogde 128 bits.

Dat verschil is cruciaal. Een correct gegenereerde 128-bits seed wordt beschouwd als praktisch onmogelijk te raden via brute force. Een 40-bits seed biedt aanzienlijk minder mogelijkheden, waardoor een aanvaller met voldoende rekenkracht potentiële seeds offline kan testen en de resulterende adressen kan vergelijken met de openbare Bitcoin-blockchain.

Sommige nieuwere apparaten boden mogelijk ongeveer 72 bits aan effectieve willekeurigheid, omdat beveiligde hardware een extra laag onvoorspelbare gegevens toevoegde. Dat zou het moeilijker maken om de seeds te reconstrueren, hoewel ze nog steeds veel zwakker waren dan bedoeld.

Eén configuratiefout bleef vijf jaar lang onopgemerkt

Het probleem begon met een configuratiefout tijdens de bouwfase, waarbij twee softwarefuncties betrokken waren die vergelijkbare taken uitvoerden. De ene functie maakte gebruik van de op hardware gebaseerde echte willekeurige getallengenerator van het apparaat, terwijl de andere vertrouwde op een zwakker softwareproces dat was overgenomen van MicroPython.

Coinkite was van plan de MicroPython-optie uit te schakelen. Een softwarecontrole keek echter alleen of er een configuratielabel was gedefinieerd, in plaats van of de waarde ervan op nul was ingesteld. Daardoor kon de voltooide firmware onopgemerkt de zwakkere functie selecteren.

Omdat de twee functies dezelfde formaten hadden, bleef de software compileren en draaien zonder dat er een duidelijke fout optrad. De fout kwam in de code terecht rond een softwaremigratie in 2021 en bleef meer dan vijf jaar aanwezig in de openbaar beschikbare firmware.

Het updaten van een apparaat versterkt nu geen seed die onder de foutieve software is gegenereerd. Getroffen gebruikers moeten een volledig nieuwe seed aanmaken met behulp van gecorrigeerde firmware of een ander veilig apparaat, en vervolgens hun tegoeden overzetten naar adressen die door die nieuwe seed worden beheerd.

Gebruikers die bij het aanmaken van hun seed ten minste 50 onafhankelijke dobbelsteenworpen hebben toegevoegd, hebben mogelijk voldoende extra willekeurigheid toegevoegd om de kwetsbaarheid te omzeilen. Een sterke BIP-39-wachtzin had de reconstructie ook moeilijker kunnen maken, terwijl wallets die handtekeningen van meerdere onafhankelijke apparaten vereisen, mogelijk hebben voorkomen dat één gecompromitteerde seed in zijn eentje geld kon verplaatsen.

Coinkite wijst naar AI, maar bewijs ontbreekt nog

Rodolfo Novak, CEO van Coinkite, heeft zich publiekelijk verontschuldigd en gezegd dat het bedrijf de volledige verantwoordelijkheid neemt voor de firmwarefout. Hij zei dat het team werkt aan gecorrigeerde software, technische rapporten en ondersteuning voor getroffen gebruikers.

Coinkite en Novak kwamen ook met een opvallende theorie over hoe het beveiligingslek werd ontdekt. Omdat de firmware al jaren openbaar beschikbaar was, zei het bedrijf te vermoeden dat iemand mogelijk AI had gebruikt om oudere versies van de code te onderzoeken en het zwakke willekeurigheidstraject te lokaliseren.

"Aan alle andere ontwikkelaars: wij geloven dat dit de nuchtere realiteit is van het nieuwe AI-paradigma. AI-ondersteunde codereview kan nu latente bugs opsporen met een snelheid die zelfs de meest ervaren experts in de sector te boven gaat”, schreef Novak in zijn verontschuldigingsbericht dat op X werd gepubliceerd. “Als je firmware open-source is of ooit openbaar is geweest, ga er dan vanuit dat deze al wordt bestudeerd door zowel aanvallers als verdedigers.”

De moderne AI-coderingssystemen van vandaag kunnen grote software-repositories verwerken en verdachte verbanden tussen configuratie-instellingen, functies en beveiligingsaannames identificeren. Een aanvaller zou zo’n systeem kunnen vragen om specifiek te zoeken naar zwakke random number generators, fallback-functies of fouten die cryptografische sleutels beïnvloeden.

Onafhankelijke onderzoekers meldden later dat ze AI-modellen hadden gebruikt om het probleem op te sporen of te verklaren nadat het onderliggende willekeurigheidsprobleem bekend was geworden. Dit toonde aan hoe toegankelijk AI-ondersteunde codeanalyse is geworden, maar het bewees niet dat de oorspronkelijke aanvaller gebruik had gemaakt van AI.

Coinkite gaf toe dat het bij zijn eigen beoordeling met behulp van een toonaangevend AI-model niet in geslaagd was om de fout vóór de diefstal aan het licht te brengen. Dat resultaat laat zien dat AI-systemen niet automatisch elk ernstig defect opsporen. Hun prestaties kunnen afhangen van de instructies die ze krijgen, de hoeveelheid aangeleverde code en of een menselijke beoordelaar de waarschuwingssignalen begrijpt.

Critici zeggen dat de menselijke fout voorop stond

Sommige beveiligingsspecialisten stellen dat een te sterke focus op kunstmatige intelligentie (AI) het risico met zich meebrengt dat de aandacht wordt afgeleid van een fundamenteel technisch falen. Velen zijn van mening dat de configuratiefout een bekend type softwarefout was, en dat conventionele codebeoordelingen, testprocedures of audits gericht op het genereren van seeds deze al jaren eerder hadden kunnen opsporen.

De tegengestelde standpunten zijn niet per se onverenigbaar. Een menselijke fout heeft de kwetsbaarheid veroorzaakt en ervoor gezorgd dat deze bleef bestaan, terwijl AI wellicht de kosten voor het opsporen, begrijpen of misbruiken ervan heeft verlaagd. Verdedigers moeten elke gevaarlijke zwakte identificeren, terwijl een aanvaller er maar één hoeft te vinden.

Het incident zet ook vraagtekens bij aannames over open-sourcebeveiliging. Openbare code stelt onafhankelijke experts in staat om software te inspecteren, maar beschikbaarheid alleen garandeert niet dat iemand het juiste gedeelte zal beoordelen, een subtiel defect zal herkennen en dit zal melden voordat een aanvaller tot actie overgaat.

Voor Coldcard-gebruikers is de eerste prioriteit vast te stellen wanneer en hoe hun seed is aangemaakt. Iedereen met een getroffen seed moet de instructies via officiële Coinkite-kanalen verifiëren, de gecorrigeerde firmware installeren, een nieuwe seed aanmaken en voorzichtig geld overboeken, terwijl hij of zij alert blijft op phishingpogingen en valse ondersteuningsberichten.

De vragen op langere termijn zullen draaien om hoeveel bitcoin er is gestolen, of onderzoekers de aanvaller kunnen identificeren en of AI een doorslaggevende rol heeft gespeeld bij het opsporen van het beveiligingslek. Fabrikanten van hardware-wallets zullen ook onder druk komen te staan om entropietests te versterken, build-configuraties te controleren en oude code voortdurend te onderzoeken met zowel menselijke experts als adversariale AI-tools.