Frazy początkowe: 12 słów, które dzielą cię od utraty wszystkiego

Te słowa nie są hasłem. One same są pieniędzmi.

Fraza seedowa, zazwyczaj składająca się z 12 lub 24 słów wybranych ze standardowej listy zawierającej 2 048 pozycji, nie jest danymi logowania, które umożliwiają dostęp do środków przechowywanych gdzie indziej. Matematycznie rzecz biorąc, stanowi ona sam portfel. Każde z tych słów koduje fragment surowej entropii, który algorytm deterministyczny (określony w standardzie o nazwie BIP39) przekształca w główny klucz prywatny, a każdy adres bitcoinowy, jaki portfel kiedykolwiek wygenerował lub kiedykolwiek wygeneruje, pochodzi z tego jednego klucza.

Nie ma żadnej firmowej bazy danych przechowującej kopię, żadnej infolinii obsługi klienta, która mogłaby odszukać zapomniany klucz, ani procedury „zapomniałem hasła”. Ktokolwiek jest w stanie podać te słowa, kontroluje każdą monetę, którą można z nich wygenerować (natychmiastowo i nieodwracalnie).

Właśnie dlatego styczniowa kradzież doszła do skutku bez wykorzystania jakiegokolwiek luki technicznej. Firma ZeroShadow zajmująca się analizą łańcucha bloków, która pomogła później w śledzeniu skradzionych środków, opisała to jako wynik „inżynierii społecznej, a nie jakiegokolwiek naruszenia bezpieczeństwa oprogramowania portfela lub infrastruktury kluczy prywatnych”.

Atakujący nie musiał niczego łamać. Wystarczyło, że ofiara wpisała 12 słów w niewłaściwym miejscu, a następnie atakujący działał błyskawicznie: około 139 milionów dolarów w bitcoinach i 153 miliony dolarów w litecoinach zostało rozdzielone między mosty THORChain, przetransferowane za pośrednictwem serwisów natychmiastowej wymiany na monero, a następnie w ciągu kilku minut ukryte w warstwach poprzez transfery w sieci peel-chain.

Zespołowi monitorującemu ZeroShadow udało się zidentyfikować i zamrozić około 700 000 dolarów z tej kwoty w ciągu 20 minut – to rzadki przypadek częściowego odzyskania środków i przypomnienie o tym, jak niewielką część skradzionych fraz seedowych zazwyczaj udaje się w ogóle odzyskać.

Dlaczego 12 słów to w rzeczywistości ogromna liczba

Każde słowo BIP39 zawiera 11 bitów entropii, ponieważ lista słów zawiera dokładnie 2 048 (2^11) pozycji. Frazę składającą się z 12 słów charakteryzuje łączna entropia wynosząca około 128 bitów po uwzględnieniu wbudowanej sumy kontrolnej, a fraza składająca się z 24 słów – 256 bitów.

Nie są to po prostu „większe” liczby niż w przypadku typowego hasła – są one astronomicznie większe. Przetestowanie metodą brute force wszystkich możliwych kombinacji pełnej frazy składającej się z 12 słów, nawet przy niezwykle hojnym założeniu 1 miliarda prób na sekundę, zajęłoby rzędu 10^22 lat. Wiek wszechświata wynosi około 13,8 miliarda lat.

Nie ma realistycznej przyszłej mocy obliczeniowej, która zniwelowałaby tę lukę; odgadnięcie kompletnej, nieznanej frazy początkowej nie stanowi ryzyka, na które ktokolwiek musiałby się przygotowywać.

Niebezpieczeństwo nigdy nie wynika z matematyki, ale z ujawnienia. Jeśli wycieknie choćby garść słów lub osoba atakująca pozna niektóre z nich na podstawie zdjęcia, kopii zapasowej w chmurze lub oszustwa polegającego na podszywaniu się pod obsługę techniczną, pozostała przestrzeń poszukiwań zawali się katastrofalnie, a nie stopniowo. Powyższy wykres pokazuje dlaczego: gdy znanych jest już 6 z 12 słów, złamanie pozostałych nadal zajęłoby szacunkowo 1 169 lat przy tej samej szybkości zgadywania (nadal bezpiecznej).

Jednak gdy znanych jest 7 słów, czas ten spada poniżej jednego roku. Przy 8 znanych słowach zajmuje to kilka godzin. Przy 10 lub 11 znanych słowach – milisekundy. Poziom bezpieczeństwa nie obniża się liniowo wraz z ujawnianiem kolejnych słów; spada on gwałtownie, co właśnie wyjaśnia, dlaczego ujawnienie „tylko pierwszych sześciu słów” lub „połowy frazy” nie jest znacząco bezpieczniejsze niż ujawnienie całości.

Jedyna funkcja stworzona po to, by wychwytywać błędy, a nie atakujących

Suma kontrolna BIP39 istnieje z dużo bardziej prozaicznego powodu niż zabezpieczenie przed odgadnięciem: wykrywa literówki. Ostatnie słowo frazy seedowej nie jest czysto losowe; kilka jego bitów stanowi sumę kontrolną obliczoną na podstawie pozostałych słów, dzięki czemu portfel może zweryfikować, czy fraza została poprawnie zapisana.

Wystarczy błędnie zapisać jedno słowo, a istnieje bardzo duże prawdopodobieństwo, że portfel oznaczy frazę jako nieprawidłową w momencie próby jej przywrócenia, zamiast po cichu wygenerować portfel z innym, pustym saldem. To niewielki element projektu, ale właśnie dzięki niemu zniekształcona kopia zapasowa zazwyczaj ujawnia się natychmiast, zamiast przerodzić się w katastrofę rozgrywającą się w zwolnionym tempie, odkrywaną dopiero po kilku miesiącach.

Miliony monet dowodzą, że większym ryzykiem nie jest kradzież

Pomimo całego rozgłosu, jaki przyciąga kradzież w wyniku phishingu o wartości 282 milionów dolarów, znacznie większa i mniej widoczna przyczyna strat jest prostsza: ludzie tracą dostęp do swoich własnych haseł. Szacunki są różne, ale firma Chainalysis zajmująca się analizą łańcucha bloków oszacowała, że aż 23% wszystkich wydobytych bitcoinów (kilka milionów BTC z około 19,8 miliona wydobytych do tej pory) jest trwale niedostępnych, głównie z powodu zapomnianych fraz, zniszczonych kopii zapasowych oraz zgonów bez żadnego planu spadkowego dotyczącego fraz. Żadnego hakera, żadnego exploita, żadnej strony phishingowej – tylko portfel, którego nikt już nie może otworzyć, zawierający monety, które nigdy więcej nie zostaną przeniesione.

To właśnie prawdziwa waga frazy seedowej – nie jest to hasło, które trzeba zapamiętać, ale jedyny, niepodważalny dowód własności aktywów, dla których nie istnieje żaden mechanizm odzyskiwania. Jeśli zostanie zapisana nieprawidłowo, zawiedzie w bezpieczny sposób. Nawet częściowe ujawnienie powoduje szybki upadek bezpieczeństwa. W przypadku całkowitej utraty, bez żadnej alternatywy, bitcoiny za nią po prostu przestają istnieć dla kogokolwiek.