Var AI ansvarlig for å finne sikkerhetssvakheten i Coldcard?

En koordinert «sweep» tømmer hundrevis av lommebøker

Hendelsen ble offentlig kjent etter at omtrent 594 BTC, verdsatt til nær 38 millioner dollar på det tidspunktet, ble flyttet fra rundt 500 bitcoin-adresser med enkel signatur 30. juli. Da nyheten først sprakk, bemerket Bitcoin.com News at overføringene skjedde innen omtrent 25 minutter og så ut til å rette seg mot lommebøker med en felles teknisk svakhet.

Senere gjennomganger av blokkjeden utvidet den mulige skalaen på tyveriet. Forskere anslo at mellom 1 082 og 1 196 adresser kan ha blitt rammet i løpet av en periode på rundt 41 minutter. Et tilpasset dashbord kalt Coldcard Sweep Watch satte deretter totalen til 1 128,4717 BTC, verdt rundt 71,1 millioner dollar da bitcoin ble handlet nær 63 044 dollar.

De fleste midlene ble konsolidert inn i en adresse som holdt hundrevis av bitcoin, der en stor del forble stort sett urørt. De berørte adressene var knyttet sammen av én viktig detalj: Gjenopprettings-seedene deres hadde blitt opprettet på Coldcard-maskinvarelommebøker produsert av det canadiske selskapet Coinkite.

Et gjenopprettings-seed er en liste med ord som kontrollerer tilgangen til en kryptovaluta-lommebok. Alle som kan rekonstruere eller skaffe seg det seedet, kan vanligvis flytte lommebokens midler uten å ha den fysiske enheten.

Coldcard finner et ødelagt tilfeldighetssystem

Coinkite utstedte en hasteadvarsel om at enkelte seeds generert på Coldcard-enheter kan være svake. Mk3-enheter som kjørte fastvareversjon 4.0.1, utgitt rundt mars 2021, og senere versjoner var blant dem som sto overfor størst risiko.

Videre analyse utvidet bekymringen til seeds opprettet på enkelte Mk4-, Mk5- og Q-enheter før Coinkite slapp nødfikser i fastvaren. Produktene Tapsigner, Opendime og Satscard var angivelig ikke berørt fordi de bruker annen programvare.

Feilen involverte prosessen som brukes til å generere tilfeldige data. Sikre lommebøker er avhengige av tilfeldighet av høy kvalitet slik at gjenopprettings-seedene deres ikke kan gjettes. På de mest alvorlig berørte Mk3-enhetene anslo forskere at seedet kan ha inneholdt bare rundt 40 bits effektiv tilfeldighet i stedet for de tiltenkte 128 bits.

Den forskjellen er kritisk. Et korrekt generert 128-bits seed anses i praksis som umulig å gjette gjennom brute force. Et 40-bits seed gir dramatisk færre muligheter, noe som lar en angriper med nok datakraft teste mulige seeds offline og sammenligne de resulterende adressene med den offentlige Bitcoin-blokkjeden.

Noen nyere enheter kan ha gitt omtrent 72 bits effektiv tilfeldighet fordi sikker maskinvare la til et ekstra lag med uforutsigbare data. Det ville gjøre seedene vanskeligere å rekonstruere, selv om de fortsatt er langt svakere enn tiltenkt.

Én konfigurasjonsfeil overlevde i 5 år

Problemet startet med en konfigurasjonsfeil ved byggetid som involverte to programvarefunksjoner som utførte lignende oppgaver. Den ene funksjonen brukte enhetens maskinvarebaserte ekte tilfeldige tall-generator, mens den andre baserte seg på en svakere programvareprosess arvet fra MicroPython.

Coinkite hadde til hensikt å deaktivere MicroPython-alternativet. Men en programvaresjekk så bare på om en konfigurasjonsetikett var definert, i stedet for om verdien var satt til null. Som resultat kunne den ferdige fastvaren i det stille velge den svakere funksjonen.

Fordi de to funksjonene hadde samsvarende formater, fortsatte programvaren å kompilere og kjøre uten å gi en åpenbar feil. Feilen kom inn i koden rundt en programvaremigrering i 2021 og forble i offentlig tilgjengelig fastvare i mer enn fem år.

Å oppdatere en enhet nå styrker ikke et seed som ble generert under den feilaktige programvaren. Berørte brukere må opprette et helt nytt seed med korrigert fastvare eller en annen sikker enhet, og deretter flytte midlene sine til adresser kontrollert av det nye seedet.

Brukere som la til minst 50 uavhengige terningkast mens de opprettet seedet sitt, kan ha tilført nok ekstra tilfeldighet til å unngå svakheten. En sterk BIP-39-passfrase kunne også ha gjort rekonstruksjon vanskeligere, mens lommebøker som krever signaturer fra flere uavhengige enheter kan ha hindret at ett kompromittert seed alene flyttet midler.

Coinkite peker på KI, men bevis mangler fortsatt

Coinkite-sjef Rodolfo Novak ba offentlig om unnskyldning og sa at selskapet tok fullt ansvar for fastvarefeilen. Han sa at teamet jobbet med fikset programvare, tekniske rapporter og støtte for berørte brukere.

Coinkite og Novak fremmet også en oppsiktsvekkende teori om hvordan feilen ble oppdaget. Fordi fastvaren deres hadde vært offentlig tilgjengelig i årevis, sa selskapet at det trodde noen kan ha brukt KI til å undersøke eldre versjoner av koden og finne banen med svak tilfeldighet.

«Til alle andre utviklere: vi mener dette er en nøktern realitet i det nye KI-paradigmet. KI-assistert kodegjennomgang kan nå finne latente feil i et tempo som overgår selv bransjens mest erfarne eksperter», skrev Novak i unnskyldningsinnlegget sitt publisert på X. «Hvis fastvaren din er åpen kildekode eller noen gang har vært offentlig, anta at den allerede blir lest av både angripere og forsvarere.»

Dagens moderne KI-kodesystemer kan behandle store programvare-repositorier og identifisere mistenkelige relasjoner mellom konfigurasjonsinnstillinger, funksjoner og sikkerhetsantakelser. En angriper kunne be et slikt system om å lete spesifikt etter svake tilfeldige tall-generatorer, reservefunksjoner eller feil som påvirker kryptografiske nøkler.

Uavhengige forskere rapporterte senere at de brukte KI-modeller til å finne eller forklare problemet etter at det underliggende tilfeldighetsproblemet var kjent. Det demonstrerte hvor tilgjengelig KI-assistert kodeanalyse har blitt, men det fastslo ikke at den opprinnelige angriperen brukte KI.

Coinkite erkjente at deres egen gjennomgang ved bruk av en ledende KI-modell ikke klarte å avdekke feilen før tyveriet. Det resultatet viser at KI-systemer ikke automatisk finner hver alvorlige defekt. Ytelsen deres kan avhenge av instruksjonene de får, mengden kode som tilføres og om en menneskelig gjennomgår forstår faresignalene.

Kritikere sier den menneskelige svikten kom først

Noen sikkerhetsspesialister hevder at å fokusere for mye på risikoer knyttet til kunstig intelligens (KI) kan avlede oppmerksomheten fra en grunnleggende ingeniørsvikt. Mange mener konfigurasjonsfeilen var en kjent type programvarefeil, og at konvensjonelle kodegjennomganger, testprosedyrer eller revisjoner med fokus på seed-generering kunne ha oppdaget den for flere år siden.

De motsatte synspunktene er ikke nødvendigvis uforenlige. En menneskelig feil skapte sårbarheten og lot den bestå, mens KI kan ha senket kostnaden ved å finne, forstå eller utnytte den. Forsvarere må identifisere hver farlige svakhet, mens en angriper bare trenger å finne én.

Hendelsen utfordrer også antakelser om sikkerhet i åpen kildekode. Offentlig kode lar uavhengige eksperter inspisere programvare, men tilgjengelighet alene garanterer ikke at noen vil gjennomgå riktig del, gjenkjenne en subtil defekt og rapportere den før en angriper handler.

For Coldcard-brukere er den umiddelbare prioriteten å fastslå når og hvordan seedet deres ble opprettet. Alle med et berørt seed må verifisere instruksjoner gjennom offisielle Coinkite-kanaler, installere korrigert fastvare, opprette et nytt seed og flytte midler nøye mens de er på vakt mot phishing-forsøk og falske støttemeldinger.

De langsiktige spørsmålene vil dreie seg om hvor mye bitcoin som ble tatt, om etterforskere kan identifisere angriperen, og om KI spilte noen avgjørende rolle i å finne feilen. Selskaper som lager maskinvarelommebøker vil også møte press for å styrke entropitesting, revidere byggkonfigurasjoner og kontinuerlig undersøke gammel kode med både menneskelige eksperter og adversarielle KI-verktøy.