W obliczu kryzysu związanego z kartami Coldcard gwałtownie rośnie sprzedaż urządzeń Trezor, Onekey i Bitbox; ewoluują modele bezpieczeństwa

Spośród 13 producentów portfeli sprzętowych, z którymi serwis Bitcoin.com News skontaktował się w celu uzyskania komentarza, firmy Trezor, Bitbox i Onekey potwierdziły, że w sierpniu odnotowały skokowy wzrost sprzedaży. Firma Ledger odmówiła komentarza na temat miesięcznej sprzedaży, natomiast producent notowanej na giełdzie firmy Bitkey, Block, jest zobowiązany do publikowania raportów kwartalnych.

Chociaż żadna z firm nie ujawniła dokładnych danych, firma Bitbox podała najbardziej konkretne informacje, stwierdzając, że sprzedaż za pomocą kart kredytowych wzrosła około dziesięciokrotnie w porównaniu z poziomem z poprzednich tygodni. Dane te nie obejmują sprzedaży realizowanej za pomocą innych metod płatności.

„Odnotowaliśmy gwałtowny wzrost sprzedaży, głównie z Ameryki Północnej, gdzie prawdopodobnie firma Coldcard miała największy udział w rynku” – powiedział serwisowi Bitcoin.com News dyrektor generalny Bitbox, Douglas Bakkum.

Obiecujący sygnał dla samodzielnego przechowywania

Tymczasem firma Trezor poinformowała, że również odnotowała wzrost sprzedaży, zwłaszcza produktów przeznaczonych wyłącznie do obsługi bitcoina. Chociaż firma nie podała konkretnych danych, jej szef ds. bezpieczeństwa, Jan Komárek, zwrócił uwagę, że ten skokowy wzrost jest obiecującym sygnałem dla całej branży bitcoinowej.

„Dla nas bardziej interesujące jest to, co to sugeruje: wygląda na to, że osoby dotknięte sytuacją związaną z Coldcard szukały innego portfela sprzętowego, zamiast rezygnować z samodzielnego przechowywania” – powiedział, dodając, że jest to „obiecujący wniosek, iż reakcją na trudny moment było zachowanie kontroli nad własnymi kluczami, a nie rezygnacja z niej”.

Jednak według analityków branżowych wielu użytkowników portfeli sprzętowych wysłało swoje środki na giełdy kryptowalut lub przeniosło kapitał do funduszy ETF, rezygnując z samodzielnego przechowywania. W obu przypadkach nie jest jasne, jak duża była ta migracja ani czy była to jedynie tymczasowa decyzja, po której użytkownicy powrócili do samodzielnego przechowywania.

Firma Onekey, choć również odnotowała wzrost sprzedaży, zauważyła, że mogły na to wpłynąć również inne czynniki, w tym cykle poszczególnych produktów. Według firmy kryzys związany z Coldcard wywołał znacznie szerszą dyskusję na temat kwestii bezpieczeństwa portfeli sprzętowych, które zazwyczaj są niewidoczne dla użytkowników końcowych, takich jak generowanie frazy seed.

Jednak luka w oprogramowaniu sprzętowym Coldcard wywołała podobne dyskusje i działania nie tylko wśród użytkowników końcowych, ale także wśród producentów portfeli sprzętowych. Po pierwsze, incydent ten skłonił zespoły do przeglądu ich obecnych modeli bezpieczeństwa.

Co zrobiły już portfele

Firma Trezor dokonała przeglądu własnego procesu generowania frazy seed, skupiając się w szczególności na trybie awarii, który został wykorzystany w przypadku Coldcard; firma BitBox „ponownie szczegółowo przeanalizowała” kod własnego generatora liczb losowych, natomiast firma Onekey poinformowała, że przeprowadziła dodatkową kompleksową weryfikację ścieżek entropii i generowania frazy seed w całej swojej gamie portfeli sprzętowych.

Jak donosi serwis Bitcoin.com News, niezależnie od sprawy Coldcard i bez związku z nią, firma BitBox ujawniła i załatała własne błędy oprogramowania sprzętowego w sierpniu bieżącego roku. Nie zgłoszono żadnych przypadków wykorzystania tych luk. Tymczasem w tym samym miesiącu firma Trezor ujawniła, że prawie 14 000 jej klientów ucierpiało w wyniku naruszenia bezpieczeństwa danych u jednego z dostawców usług wysyłkowych Trezora.

W obu przypadkach główna bitwa o bezpieczeństwo dopiero przed nami, ponieważ portfele sprzętowe do bitcoinów i innych aktywów kryptograficznych dostosowują się do nowej rzeczywistości wywołanej przez sztuczną inteligencję.

Dwie kwestie, na których należy się skupić

„Atakujący działają już z prędkością maszyn, więc my również musimy tak działać, aby wyprzedzać ich o krok” – powiedział Charles Guillemet, dyrektor ds. technologii w firmie Ledger, dodając, że obecnie obrona nadal działa wolniej niż atakujący. Jego zdaniem przynajmniej okres między wydaniem poprawki a jej wykorzystaniem do ataku ulega skróceniu.

Dyrektor ds. technologii podkreślił, że firmy powinny teraz skupić się na dwóch rzeczach: poprawie ujawniania informacji i edukacji użytkowników.

„Po pierwsze, odpowiedzialne ujawnianie luk musi ewoluować wraz z szybszym wydawaniem poprawek, krótszymi terminami ujawniania oraz strategiami migracji, które zakładają, że zdolni, wspomagani przez sztuczną inteligencję atakujący są częścią modelu bezpieczeństwa, a nie opcjonalnymi ulepszeniami” – powiedział Guillemet w rozmowie z Bitcoin.com News.

Ponadto, jego zdaniem, pomoc w zrozumieniu działania portfeli sprzętowych „będzie miała kluczowe znaczenie dla zapewnienia bezpieczeństwa branży”.

Zaktualizuj nawet swoje urządzenia domowe

W tym samym duchu, w swoich „refleksjach na temat skutków incydentu z Coldcard”, twórcy portfela Blockstream Jade wezwali użytkowników portfeli sprzętowych do aktualizowania oprogramowania. Blockstream Jade właśnie wydał aktualizację oprogramowania układowego zawierającą szereg poprawek. Jednak zdaniem zespołu, oprócz portfeli sprzętowych, użytkownicy powinni na bieżąco aktualizować swoje aplikacje, systemy operacyjne, urządzenia, routery, a nawet sprzęt AGD.

„Zapewnienie bezpieczeństwa to ciągły proces, w którym użytkownik również musi brać udział” – podkreślili, dodając, że błąd w Coldcard był „niefortunnym przypadkiem, w którym nie udało się zapewnić bezpieczeństwa użytkownikom poprzez aktualizację” ich oprogramowania i oprogramowania układowego.

Tymczasem firma Onekey dodała, że bezpieczeństwo portfeli sprzętowych musi opierać się na entropii i przechowywaniu kluczy wspieranych przez sprzęt, weryfikowalnym oprogramowaniu open source, niezależnej weryfikacji bezpieczeństwa, silnym oddzieleniu komponentów krytycznych dla bezpieczeństwa oraz przejrzystej weryfikacji transakcji po stronie użytkownika.

„Ponieważ sztuczna inteligencja obniża koszty analizy oprogramowania i automatyzacji ataków, celem jest zapewnienie, aby wykrycie jednej słabości implementacji nie wystarczyło do naruszenia całego modelu bezpieczeństwa” – stwierdził producent portfela.

Krótko-, średnio- i długoterminowe plany bezpieczeństwa

Same firmy już wdrażają krótko-, średnio- i długoterminowe zmiany w zakresie bezpieczeństwa. Na przykład firma Trezor, „w bezpośredniej odpowiedzi na ustalenia dotyczące Coldcard”, wprowadza „dodatkowe kontrole poprawności” dotyczące entropii generowanej wewnętrznie przez urządzenie podczas weryfikacji, czy rzeczywiście wykorzystywana jest entropia zewnętrzna.

„Ponadto nasza analiza skłoniła nas do wzmocnienia wewnętrznych testów i mechanizmów zabezpieczających związanych z niebezpiecznym generatorem testowym oraz do rozszerzenia sposobu weryfikacji ścieżki wywołań każdego indywidualnego źródła entropii” – powiedział Komárek, zaznaczając, że niebezpieczny generator służy wyłącznie do testów wewnętrznych.

Firma analizuje również raporty niezależnych badaczy bezpieczeństwa, a w perspektywie średnioterminowej planuje nowy test penetracyjny kluczowych funkcji oprogramowania układowego, przeprowadzony przez „cenioną zewnętrzną agencję bezpieczeństwa”. Raporty z audytów bezpieczeństwa mają zostać upublicznione.

„W dłuższej perspektywie skupiamy się na wyprzedzaniu ataków wykorzystujących sztuczną inteligencję, a nie na reagowaniu na nie” – powiedział szef działu bezpieczeństwa, podczas gdy inni producenci portfeli również podkreślali, że już teraz wykorzystują sztuczną inteligencję do weryfikacji swojego kodu, obok programów nagród.

„Nasze laboratorium badawcze Donjon (laboratorium hakerów typu white hat) ma na celu próbę złamania zabezpieczeń naszych produktów, zanim zrobi to ktoś inny, a wewnętrznie intensywnie wykorzystujemy modele językowe (LLM) do wykrywania luk w naszych własnych produktach” – dodał Guillemet z firmy Ledger.

Firma Onekey poinformowała, że obecnie koncentruje się na wzmocnieniu weryfikacji ścieżek kodu o krytycznym znaczeniu dla bezpieczeństwa, kompilacji oprogramowania układowego, generowaniu entropii oraz procesach podpisywania transakcji, natomiast w perspektywie średnioterminowej jej uwaga skupi się na weryfikacji transakcji, z odniesieniem do rozwiązania Clear Signing, istotnego dla wielu głównych aktywów kryptograficznych poza bitcoinem.

Wspólna odpowiedzialność i nowe krytyczne błędy

Tymczasem badacze bezpieczeństwa z firmy Block, producenta portfela Bitkey, odegrali kluczową rolę we wspieraniu branży bitcoinowej i portfeli sprzętowych podczas kryzysu związanego z Coldcard, aktywnie angażując się w działania społeczności w celu dzielenia się krytycznymi ustaleniami i koordynowania działań reagujących na sytuację.

„W sposób przejrzysty dzieliliśmy się naszymi ustaleniami zarówno poprzez publiczne dyskusje na X, jak i kanały prywatne, ponieważ uważamy, że gdy luki w zabezpieczeniach wpływają na ekosystem, wszyscy producenci mają obowiązek szybkiego działania” – poinformowała firma serwis Bitcoin.com News, dodając, że portfele sprzętowe powinny zachować kontrolę nad kluczowymi modelami bezpieczeństwa.

W trakcie pisania tego artykułu, 26 sierpnia, zaczęły krążyć doniesienia o kolejnym „krytycznym błędzie u dużego dostawcy portfeli sprzętowych”. Rob Segers, konsultant ds. bezpieczeństwa Bitcoina i założyciel firmy Bitsaga, który wykrył ten błąd wraz z „kilkoma innymi błędami o wysokim stopniu zagrożenia”, powiedział, że nieujawniony dostawca potwierdził istnienie tych błędów, „ale poprawka zostanie wprowadzona już w nadchodzącej aktualizacji”.

Według Segersa krytyczny błąd został wykryty w „oficjalnym oprogramowaniu sprzętowym, ale do kradzieży środków wymaga złośliwego oprogramowania hosta”. Oznacza to, że błąd ten mógłby zostać wykorzystany, gdyby użytkownik na przykład pobrał fałszywy portfel. Marek „Slush” Palatinus, współzałożyciel firmy Trezor, potwierdził, że zgłoszony błąd nie dotyczy tego portfela. Tymczasem Segers poinformował, że wykrył jeszcze dwa błędy, co spotkało się z krytyką za wywoływanie paniki.

Zachowajcie bezpieczeństwo.