Cum au venit în ajutorul utilizatorilor portofelele hardware Bitcoin în timpul crizei Coldcard

Bitcoin.com News a analizat modul în care cei mai importanți 13 producători ai acestor dispozitive esențiale au comunicat pe X, principalul canal de social media pentru tot ceea ce ține de activele criptografice, de la izbucnirea crizei la sfârșitul lunii iulie și până în august.

VITEZA ȘI CLARITATEA

Echipele s-au diferențiat în ceea ce privește viteza, claritatea, utilitatea, tonul, gradul de laudă și dacă au continuat să urmărească problema zile și, acum, săptămâni mai târziu. De exemplu, producătorul Bitkey, compania americană Block, care a făcut parte din ancheta inițială privind Coldcard, a fost printre primii care și-au avertizat utilizatorii și comunitatea mai largă cu privire la vulnerabilitate, fiind urmată curând de compania canadiană Blockstream, producătorul Jade. Între timp, altora le-a luat mai mult de o zi să posteze pe X. Unul dintre liderii industriei, Ledger, cu sediul în Europa, și-a informat urmăritorii de pe X la aproximativ 14 ore de la izbucnirea crizei.

Cu toate acestea, cei care au reacționat cel mai rapid nu au fost întotdeauna și cei mai meticuloși.

OPORTUNITATE MAI LARGĂ DE AUTO-CUSTODIE

În orice caz, printre tiparele care au reieșit din comunicările portofelelor, s-a pus un accent puternic pe modul în care se generează entropia, pe măsură ce echipele încercau să se diferențieze de Coldcard. De asemenea, unele echipe au subliniat sprijinul pentru entropia generată de utilizator ca o modalitate de a reduce încrederea în generatorul de numere aleatorii (RNG) propriu al dispozitivului.

A existat, de asemenea, o abordare diferită în ceea ce privește modul în care producătorii de dispozitive cu sursă închisă și cu sursă deschisă au încercat să-și liniștească utilizatorii. Dispozitivele cu credibilitate mai mare în ceea ce privește sursa deschisă (Passport Prime, Trezor, Bitbox, Keystone, Blockstream Jade) au pus accentul pe verificabilitate, în timp ce modelele cu sursă mai închisă (Ledger, Tangem, Ngrave) s-au bazat mai mult pe certificări și audituri.

În plus, nu toate echipele au discutat despre configurațiile cu semnături multiple (multisig) ca măsură de apărare structurală, mai ales în cazul configurațiilor cu mai mulți furnizori, în timp ce mai multe companii au profitat de ocazie pentru a promova, în general, bune practici mai ample privind auto-custodia.

AJUTOR ȘI LĂUDĂ

În ceea ce privește acțiunile ulterioare, Trezor, Bitkey, Bitbox și Blockstream Jade s-au remarcat ca fiind mai active, oferind informații suplimentare, în timp ce Ledger, Tangem, Safepal și Ngrave au fost relativ mai puțin active în această privință.

De asemenea, nu toate echipele au oferit sfaturi practice de migrare pentru utilizatorii afectați, iar Foundation (producătorul Passport Prime), Bitkey, Ellipal, Jade, Bitbox și Trezor s-au remarcat prin îndrumări concrete. Între timp, Foundation și Trezor au comunicat, de asemenea, despre măsurile suplimentare de consolidare a securității. Ngrave și Ellipal par să fi folosit cel mai puternic limbaj promoțional, precum „cel mai sigur din lume”, „lider în domeniul air-gapped” etc.

Acum, să aruncăm o privire rapidă asupra comunicărilor fiecărui portofel. Acestea sunt clasificate în funcție de prima lor postare pe X în timpul crizei.

REACȚIILE CELOR 13 CELE MAI IMPORTANTE PORTFELURI HARDWARE BITCOIN LA CRIZA COLDCARD

Bitkey
30 iulie, ora 22:07 EDT
Bitkey și producătorul său, Block, au adoptat din timp o atitudine proactivă în criza Coldcard, echipa Block investigând în mod independent furturile și publicând o analiză tehnică detaliată care confirma că portofelul Bitkey fără seed nu a fost afectat. Pe lângă explicațiile clare, formulate într-un limbaj accesibil, și avertismentele conform cărora seed-urile vulnerabile ale Coldcard rămân compromise chiar și dacă sunt mutate în altă parte, echipa a sfătuit, de asemenea, să nu se efectueze în grabă noi configurări de auto-custodie. O secțiune de întrebări frecvente (FAQ) publicată la mijlocul lunii august a reiterat faptul că Bitkey nu a fost afectat, că nu era necesară nicio acțiune și a detaliat designul său de bază multisig 2 din 3. Comunicarea ulterioară s-a orientat către educarea utilizatorilor cu privire la multisig și recuperare, mai degrabă decât către mesaje repetate legate de criză.

Blockstream Jade
30 iulie, 23:20 EDT
Această echipă s-a asigurat imediat că frazele-semință ale Jade sunt generate din mai multe surse independente de entropie. De asemenea, a publicat un articol practic pe blog în care a prezentat un proces de migrare în patru pași pentru utilizatorii Coldcard afectați. Echipa a detaliat designul entropic cu surse multiple al Jade și a subliniat natura sa complet open-source. Comunicarea ulterioară s-a concentrat pe răspunsurile la întrebările utilizatorilor, explicarea caracteristicilor de securitate ale portofelului și anunțarea unor noi metode de generare a entropiei offline.

Passport Prime
30 iulie, ora 23:33 EDT
Producătorul portofelului Passport Prime a răspuns printr-o declarație în care a afirmat că toate modelele sale au generat întotdeauna entropie corectă și sunt sigure. A urmat cu postări tehnice detaliate care explicau defecțiunea Coldcard și propriul său design hardware de entropie cu surse multiple. De asemenea, echipa a publicat o analiză suplimentară a arhitecturii sale de entropie, realizată după incident. Printre noile măsuri specifice anunțate s-au numărat monitorizarea suplimentară a stării de funcționare pentru a preveni generarea de semințe cu entropie scăzută din cauza defecțiunilor hardware, lansarea unei aplicații de testare a entropiei destinată utilizatorilor pe Passport Prime și planurile de a publica rapoarte de revizuire a codului realizate cu ajutorul inteligenței artificiale odată cu fiecare lansare de software.

Trezor
31 iulie, ora 03:16 EDT
Trezor a asigurat utilizatorii că fondurile lor sunt în siguranță, adăugând în scurt timp că oricine a transferat o sămânță generată de Coldcard pe un Trezor se află încă în pericol. Același avertisment este prezent și în cazul majorității celorlalte portofele. În câteva zile, echipa a publicat o analiză tehnică a designului entropiei portofelului. Ulterior, comunicarea a continuat până la jumătatea lunii august, prin consolidarea poziției sale și repetarea explicațiilor privind entropia, a avertismentelor privind phishingul și a mențiunilor referitoare la posibila adăugare a suportului pentru entropie bazată pe aruncarea zarurilor. Între timp, pe 13 august, Trezor a dezvăluit că aproape 14.000 dintre clienții săi au fost afectați de o breșă de securitate la ShipMonk, unul dintre furnizorii de servicii de livrare ai Trezor.

OneKey
31 iulie, ora 04:24 EDT
După ce și-a liniștit utilizatorii că aceste dispozitive nu sunt afectate, OneKey a explicat că entropia este generată în întregime pe dispozitiv, combinând surse aleatorii independente. Comunicările ulterioare au reiterat aceleași puncte principale, inclusiv sursele duale de entropie integrate în dispozitiv, certificarea, firmware-ul open-source și evaluarea continuă efectuată de o firmă de securitate, oferind totodată articole mai detaliate, inclusiv despre multisig sau despre cum se poate spori securitatea unei fraze seed.

Bitbox
31 iulie, ora 04:52 EDT
Înainte de prima sa declarație substanțială din 31 iulie, echipa răspunsese deja într-un fir de discuție separat, anterior, că dispozitivele sale sunt sigure. BitBox a explicat, de asemenea, că frazele sale de inițializare combină cinci surse independente de entropie. Răspunsurile ulterioare au detaliat sursele de entropie, prezentate ca o strategie de apărare în profunzime, și au evidențiat firmware-ul open-source, auditurile interne asistate de IA, un program de recompense pentru descoperirea de bug-uri și suportul pentru entropia generată manual prin aruncarea zarurilor. BitBox a explicat, de asemenea, avantajele și dezavantajele unei configurații multisig. Separat, fără legătură cu Coldcard, BitBox a dezvăluit și a remediat propriile erori de firmware. Nu a fost raportată nicio exploatare.

Keystone
31 iulie, ora 06:47 EDT
Postările inițiale ale Keystone au abordat generarea de entropie fără a menționa criza Coldcard, dar au fost urmate de o altă declarație pe 4 august, care a confirmat că verificările interne au arătat că toate dispozitivele Keystone sunt sigure. Ulterior, echipa a detaliat proiectarea dispozitivului, subliniind că procesul de generare a fost verificat în fiecare etapă. De asemenea, au oferit două soluții opționale, cum ar fi adăugarea unei fraze de acces BIP-39 sau utilizarea funcției de aruncare a zarurilor a dispozitivului. Răspunsurile ulterioare de la începutul lunii august s-au concentrat pe designul cu surse multiple și pe opțiunile legate de zaruri/fraza de acces, îndrumând totodată utilizatorii către firmware-ul open-source și rapoartele de audit publice pentru o verificare independentă.

Ledger
31 iulie, ora 12:16 EDT
După mesajul inițial în care Ledger a precizat că nu a fost afectat de problema Coldcard, făcând referire la un generator certificat de numere aleatorii adevărate încorporat în elementul său de securitate, o explicație mai detaliată a fost oferită pe 2 august de către directorul tehnic (CTO) al companiei, Charles Guillemet. În comunicatele ulterioare, echipa s-a concentrat pe diferențele tehnologice, oferind totodată îndrumări privind semnăturile multiple (multisig), avertizând că configurațiile de custodie mai complexe pot prezenta și riscuri mai mari și propunând alte soluții, precum Miniscript și MuSig2, un protocol de semnături multiple pentru Bitcoin cu două runde. În plus, echipa a dezvăluit modul în care se pregătește pentru atacurile de securitate accelerate de IA. Deși Ledger în sine nu a suferit nicio breșă de securitate, clienții săi au fost afectați de două scurgeri de date personale cauzate de incidente ale unor terți.

Tangem
31 iulie, ora 15:08 EDT
Tangem s-a grăbit, de asemenea, să sublinieze că acest dispozitiv fără frază de inițializare funcționează pe un cod complet separat de cel al Coldcard. Mai târziu, în luna august, Tangem a susținut că securitatea provine din arhitectură, testare și verificare independentă, mai degrabă decât doar din codul open-source. De asemenea, a publicat o explicație privind motivul pentru care malware-ul care vizează seed-urile nu funcționează împotriva Tangem. Mesajul principal al echipei s-a concentrat ulterior pe arhitectură și certificare.

Ellipal
1 august, ora 07:21 EDT
Pe lângă liniștirea utilizatorilor, Ellipal i-a invitat să verifice, în loc să se bazeze doar pe încredere, întrucât dispozitivul acceptă o sămânță generată de utilizator însuși. De asemenea, a oferit o explicație privind modul de verificare independentă a caracterului aleatoriu. Două zile mai târziu, a organizat o campanie de distribuire gratuită a unor instrumente de securitate a sămânței. În comunicatele ulterioare, s-a concentrat pe explicații tehnice, iar pe 5 august a oferit o listă de verificare pentru migrare destinată utilizatorilor care își generaseră o sămânță pe un Coldcard. Ellipal a fost, de asemenea, activă în avertizarea utilizatorilor săi cu privire la încercările de phishing și a distribuit chiar o postare a concurentului său, Ledger, referitoare la hardware-ul open-source.

Safepal
1 august, ora 14:14 EDT
SafePal s-a concentrat, de asemenea, pe diferențierea față de Coldcard, afirmând că acest portofel extrage entropie în momentul creării portofelului, în loc să se bazeze pe un singur cip sau o singură sursă. La fel ca în cazul multor alte portofele, a avertizat și ea cu privire la încercările de phishing. Postarea și articolul de pe blog din 1 august au constituit, în esență, întregul răspuns, ulterior distribuind doar o postare referitoare la frazele de acces. Cu toate acestea, pe 16 august, compania a dezvăluit că aproape 40.000 dintre clienții săi au fost afectați de o breșă de securitate.

Ngrave
1 august, ora 15:43 EDT
Ngrave s-a concentrat pe procesul său de generare a „Cheii Perfecte”, care combină mai multe tehnici criptografice, generarea în mediu izolat (air-gapped) și amprenta digitală a utilizatorului. Ulterior, a continuat să reamintească utilizatorilor că bazarea pe o singură sursă de generare a cheilor reprezintă un punct unic de eșec. De asemenea, a invitat utilizatorii să verifice ei înșiși designul. În plus, echipa a declarat că utilizează „diverse evaluări de apărare cibernetică asistate de LLM, valorificând cele mai avansate modele din lume pentru a vă proteja fondurile” și a anunțat programul de ștergere a datelor clienților.

KeepKey
1 august, ora 16:25 EDT
KeepKey a publicat o analiză tehnică realizată de dezvoltatorul său, incluzând și un link către o postare de pe blogul KeepKey care prezenta cine era expus riscului, pașii de migrare și motivul pentru care un sistem multisig bazat exclusiv pe Coldcard nu oferă protecție împotriva acestui tip de eșec. Aceasta a fost singura postare a KeepKey după izbucnirea crizei Coldcard, echipa respectivă nefiind foarte activă pe X.

În concluzie, criza Coldcard nu numai că le-a oferit producătorilor de portofele hardware noi lecții de securitate, dar, sperăm, comunicarea acestora se va îmbunătăți și mai mult atunci când/dacă va apărea următoarea criză.

Bitcoin.com News a contactat toate aceste echipe pentru a obține comentarii și va publica răspunsurile lor, în cazul în care acestea vor fi furnizate.