Hvordan maskinvarelommebøker for Bitcoin støttet brukere under Coldcard-krisen

Bitcoin.com News undersøkte hvordan de 13 ledende produsentene av disse viktige enhetene kommuniserte på X, den viktigste sosiale mediekanalen for alt som har med kryptoaktiva å gjøre, siden krisen brøt ut i slutten av juli og inn i august.

HASTIGHET OG TYDELIGHET

Teamene var ulike når det gjaldt hastighet, tydelighet, hjelpsomhet, tone, skrytenivå og om de fortsatte å følge opp saken dager og nå, uker senere. For eksempel var produsenten av Bitkey, USA-baserte Block, som var en del av den innledende Coldcard-undersøkelsen, blant de første til å advare brukerne sine og det bredere fellesskapet om utnyttelsen, og ble snart fulgt av Canada-baserte Blockstream, produsenten av Jade. For noen andre tok det derimot mer enn en dag å poste på X. En av bransjelederne, Europa-baserte Ledger, informerte følgerne sine på X etter rundt 14 timer siden krisen brøt ut.

De raskeste responderne var imidlertid ikke alltid de mest grundige.

EN BREDERE MULIGHET FOR SELVFORVARING

Uansett var et av mønstrene som fremkom på tvers av lommebøkenes kommunikasjon, et sterkt fokus på hvordan entropi genereres, ettersom teamene forsøkte å skille seg fra Coldcard. Noen team fremhevet også støtte for brukergenerert entropi som en måte å redusere tilliten til enhetens egen tilfeldig-tallgenerator (RNG).

Det var også en ulik tilnærming til hvordan produsenter av enheter med lukket og åpen kildekode har forsøkt å roe brukerne sine. Enheter med sterkere åpen-kildekode-kredensialer (Passport Prime, Trezor, Bitbox, Keystone, Blockstream Jade) la vekt på etterprøvbarhet, mens mer lukkede design (Ledger, Tangem, Ngrave) i større grad lente seg på sertifiseringer og revisjoner.

I tillegg diskuterte ikke alle team multisignatur-oppsett (multisig) som et strukturelt forsvar, særlig når det gjelder oppsett med flere leverandører, mens flere selskaper brukte øyeblikket til å fremme bredere beste praksiser for selvforvaring generelt.

HJELP OG SKRYT

Når det gjelder oppfølgingene, skilte Trezor, Bitkey, Bitbox og Blockstream Jade seg ut som mer aktive, ved å gi tilleggsinformasjon, mens Ledger, Tangem, Safepal og Ngrave var relativt mindre aktive i så måte.

Dessuten ga ikke alle team praktiske råd om migrering for berørte brukere, og Foundation (produsenten av Passport Prime), Bitkey, Ellipal, Jade, Bitbox og Trezor utmerket seg med konkret veiledning. Samtidig kommuniserte Foundation og Trezor også om sine ytterligere tiltak for sikkerhetsforsterkning. Ngrave og Ellipal ser ut til å ha brukt det sterkeste promotering-språket, som «verdens sikreste», «leder innen air-gapped», osv.

La oss nå ta en rask titt på hver av lommebøkenes kommunikasjon. De er rangert etter sin første post på X under krisen.

REAKSJONER FRA DE 13 LEDENDE BITCOIN-MASKINVARELOMMEBØKENE PÅ COLDCARD-KRISEN

Bitkey
30. juli, 10:07 PM EDT
Bitkey og produsenten Block tok en proaktiv tidlig rolle i Coldcard-krisen, ettersom Blocks team uavhengig undersøkte tyveriene og publiserte en detaljert teknisk analyse som bekreftet at den seedløse Bitkey-lommeboken ikke var berørt. I tillegg til tydelige forklaringer i enkelt språk og advarsler om at sårbare Coldcard-seeds forblir kompromittert selv om de flyttes et annet sted, frarådet teamet også hastige nye oppsett for selvforvaring. En FAQ i midten av august gjentok at Bitkey ikke var berørt, at ingen handling var nødvendig, og beskrev dens kjerne-design med 2-av-3 multisig. Senere kommunikasjon skiftet mot produktopplæring om multisig og gjenoppretting snarere enn gjentatt krisekommunikasjon.

Blockstream Jade
30. juli, 11:20 PM EDT
Dette teamet sørget umiddelbart for at Jades seed-fraser genereres fra flere uavhengige entropikilder. Det publiserte også et praktisk blogginnlegg som skisserte en firetrinns migreringsprosess for berørte Coldcard-brukere. Teamet beskrev Jades entropidesign med flere kilder og understreket dens fullt ut åpen-kildekode-natur. Påfølgende kommunikasjon fokuserte på å svare på brukerspørsmål, forklare lommebokens sikkerhetsfunksjoner og kunngjøre nye metoder for å skape entropi offline.

Passport Prime
30. juli, 11:33 PM EDT
Produsenten av Passport Prime-lommeboken svarte med en uttalelse om at alle modellene deres alltid har generert korrekt entropi og er trygge. Den fulgte opp med detaljerte tekniske innlegg som forklarte Coldcard-feilen og deres egen maskinvarebaserte entropidesign med flere kilder. Teamet delte også en ekstra gjennomgang etter hendelsen av sin entropiarkitektur. Spesifikke nye tiltak som ble kunngjort, inkluderte ytterligere helsemåling/overvåking for å forhindre seeds med lav entropi fra maskinvarefeil, lanseringen av en brukerrettet app for entropitesting på Passport Prime, og planer om å publisere AI-kodegjennomgangsrapporter med hver programvareutgivelse.

Trezor
31. juli, 03:16 AM EDT
Trezor forsikret brukerne om at midlene deres var trygge, og la snart til at alle som hadde flyttet en Coldcard-generert seed til en Trezor fortsatt var i risikosonen. Den samme advarselen finnes hos de fleste andre lommebøker også. I løpet av noen dager publiserte teamet en teknisk gjennomgang av lommebokens entropidesign. Deretter fortsatte kommunikasjonen gjennom midten av august ved å konsolidere posisjonen sin og gjenta entropiforklaringer, phishing-advarsler og omtale av mulig støtte for ekstra entropi via terningkast. Samtidig, 13. august, opplyste Trezor at nesten 14 000 av kundene deres ble berørt av et datainnbrudd hos ShipMonk, en av Trezors fraktleverandører.

Onekey
31. juli, 04:24 AM EDT
Etter å ha beroliget brukerne med at disse enhetene ikke er berørt, forklarte OneKey at entropi genereres helt på enheten, ved å kombinere uavhengige tilfeldige kilder. Oppfølgingskommunikasjon gjentok de samme hovedpoengene, inkludert doble entropikilder på enheten, sertifisering, åpen-kildekode-firmware og løpende gjennomgang fra sikkerhetsselskap, samtidig som de delte mer detaljerte artikler, blant annet om multisig eller hvordan man kan heve sikkerheten til en seed-frase.

Bitbox
31. juli, 04:52 AM EDT
Før sin første substansielle uttalelse 31. juli hadde teamet allerede svart i en egen tidligere tråd at enhetene deres var trygge. BitBox forklarte også at deres seeds kombinerer fem uavhengige entropikilder. Oppfølgingene beskrev entropikildene, innrammet som defense-in-depth, og pekte på åpen-kildekode-firmware, interne AI-assisterte revisjoner, en bug bounty og støtte for manuell terningkast-entropi. BitBox forklarte også fordeler og ulemper ved et multisig-oppsett. Separat, uten forbindelse til Coldcard, opplyste BitBox om og rettet sine egne firmware-feil. Ingen utnyttelse er rapportert.

Keystone
31. juli, 06:47 AM EDT
Keystones tidlige innlegg tok for seg deres entropigenerering uten å nevne Coldcard-krisen, men ble fulgt av en ny uttalelse 4. august som bekreftet at interne kontroller fant at alle Keystone-enheter var trygge. Senere beskrev teamet enhetsdesignet sitt, og understreket at genereringsprosessen var verifisert i hvert trinn. De tilbød også to valgfrie løsninger, som å legge til en BIP-39-passfrase eller bruke enhetens terningkast-funksjon. Oppfølgingssvar gjennom begynnelsen av august fokuserte på designet med flere kilder og terning/passfrase-alternativene, samtidig som de pekte brukerne sine til åpen-kildekode-firmware og offentlige revisjonsrapporter for uavhengig verifisering.

Ledger
31. juli, 12:16 EDT
Etter den første meldingen om at Ledger ikke var berørt av Coldcard-problemet, der de pekte på en sertifisert ekte tilfeldig-tallgenerator bygget inn i deres sikre element, kom en mer detaljert forklaring 2. august fra CTO Charles Guillemet. I oppfølgingene fokuserte teamet på forskjellene i teknologien sin, samtidig som de ga veiledning om multisig, advarte om at mer komplekse forvaringsoppsett også kan være mer risikable, og tilbød andre løsninger som Miniscript og MuSig2, en bitcoin multisignaturprotokoll med to runder. I tillegg delte teamet hvordan de forbereder seg på AI-akselererte sikkerhetsangrep. Selv om Ledger selv ikke har hatt noen sikkerhetsbrudd, ble kundene deres rammet av to lekkasjer av personopplysninger som stammet fra tredjepartshendelser.

Tangem
31. juli, 3:08 PM EDT
Tangem var også rask med å understreke at denne seedløse enheten kjører på helt separat kode fra Coldcard. Senere i august argumenterte Tangem for at sikkerhet kommer fra arkitektur, testing og uavhengig verifisering snarere enn åpen kildekode alene. De publiserte også en forklaring på hvorfor malware som retter seg mot seed ikke fungerer mot Tangem. Teamets hovedbudskap senere fokuserte på arkitektur og sertifisering.

Ellipal
1. aug., 07:21 EDT
I tillegg til å berolige brukerne sine inviterte Ellipal dem til å verifisere fremfor bare å stole på, ettersom enheten godtar en seed som brukeren genererer selv. De delte også en forklaring på hvordan man kan sjekke tilfeldighet uavhengig. To dager senere tilbød de en giveaway av verktøy for seed-sikkerhet. I oppfølgingene fokuserte de på tekniske forklaringer, mens de 5. august tilbød en migreringssjekkliste for brukere som hadde laget en seed på en Coldcard. Ellipal var også aktive med å advare brukerne sine om phishingforsøk og delte til og med et innlegg av konkurrenten Ledger om maskinvare med åpen kildekode.

Safepal
1. aug., 2:14 PM EDT
SafePal fokuserte også på å skille seg fra Coldcard, ved å si at denne lommeboken henter entropi i det øyeblikket lommeboken opprettes, i stedet for å stole på én enkelt brikke eller kilde. Som mange andre lommebøker advarte de også om phishingforsøk. Innlegget og bloggen deres 1. august var i praksis hele responsen, og senere delte de bare et innlegg om passfraser. Likevel, 16. august, opplyste selskapet at nesten 40 000 av kundene deres ble berørt av et datainnbrudd.

Ngrave
1. aug., 3:43 PM EDT
Ngrave fokuserte på sin «Perfect Key»-genereringsprosess som kombinerer flere kryptografiske teknikker, air-gapped generering og brukerens eget fingeravtrykk. Senere fortsatte de å minne brukerne på at det å stole på en enkelt nøkkelgenereringskilde er et single point of failure. De inviterte også brukerne til å verifisere designet selv. Teamet sa også at de tar i bruk «ulike LLM-assisterte cyberforsvarsevalueringer, ved å utnytte verdens mest banebrytende modeller for å sikre midlene dine», og kunngjorde sitt program for sletting av kundedata.

Keepkey
1. aug., 4:25 PM EDT
KeepKey delte en teknisk gjennomgang fra utvikleren sin, og lenket også til et KeepKey-blogginnlegg som dekket hvem som var i risikosonen, migreringstrinn og hvorfor en multisig som kun består av Coldcard ikke beskytter mot denne typen feil. Dette var det eneste innlegget fra KeepKey etter at Coldcard-krisen startet, ettersom dette teamet ikke er særlig aktivt på X.

Avslutningsvis har Coldcard-krisen ikke bare lært produsenter av maskinvarelommebøker nye sikkerhetsleksjoner, men forhåpentligvis vil kommunikasjonen deres også bli enda bedre når/hvis den neste krisen treffer.

Bitcoin.com News har kontaktet alle disse teamene for kommentar og vil dele svarene deres, dersom de kommer.