Echipa „Red Team” a Bitcoin a descoperit 4.962 de vulnerabilități în urma atacului asupra Coldcard

Un răspuns la exploatarea Coldcard

Vulnerabilitatea portofelului hardware Coldcard a dus la pierderea de bitcoin (BTC) din partea deținătorilor pe termen lung, ca urmare a unei erori de firmware care datează din martie 2021. Pierderile au depășit 116 milioane de dolari, reprezentând peste 1.800 de BTC sustrase de la peste 5.200 de adrese.

Acest episod a determinat o inițiativă voluntară numită „Bitcoin Red Team”, condusă de dezvoltatorul BTC Calle alături de Rob Hamilton, CEO al companiei de asigurări pentru custodie proprie Anchorwatch. Aceștia au lansat un audit de urgență al ecosistemului open-source mai larg al bitcoinului pentru a verifica dacă alte portofele și biblioteci de cod utilizate pe scară largă prezintă vulnerabilități similare cu cea care a afectat utilizatorii Coldcard.

Șaisprezece cercetători în domeniul securității au petrecut 27,5 ore analizând amănunțit 390 de depozite open-source de bitcoin, combinând analiza asistată de inteligență artificială (IA) cu revizuirea manuală. Echipa a raportat un total de 4.962 de vulnerabilități de securitate, dintre care 85 clasificate ca fiind critice și 635 cu grad ridicat de gravitate (un ritm mediu de 2,31 vulnerabilități cu grad ridicat sau critic pe cercetător, pe oră).

Finanțarea pentru acest sprint a venit de la Opensats, o organizație non-profit care susține dezvoltarea open-source a Bitcoin, care a contribuit cu aproape 40.000 de dolari pentru a sprijini munca cercetătorilor. Calle a descris starea securității ecosistemului ca fiind „extrem de proastă”.

Analiștii care au urmărit auditul în timp real au remarcat că, până în prezent, doar aproximativ una din cinci vulnerabilități a fost reprodusă independent, ceea ce arată că multe dintre problemele semnalate necesită încă confirmare înainte ca dezvoltatorii să poată fi siguri de gravitatea lor în condiții reale.

Unde se concentrează vulnerabilitățile

Instrumentele de confidențialitate și coinjoin (software conceput pentru a ascunde urmele tranzacțiilor cu bitcoin pe lanț) au reprezentat cea mai mare concentrație de probleme grave, reprezentând 24% din constatările critice, în ciuda faptului că au constituit o pondere mai mică din totalul proiectelor analizate. Bibliotecile criptografice, în schimb, au generat cel mai mare număr brut de constatări, respectiv 1.101, dar doar 10% dintre acestea au fost clasificate ca având un grad ridicat de gravitate, ceea ce sugerează că codul este, în general, mai matur, chiar dacă atrage cea mai mare atenție din partea cercetătorilor.

Majoritatea celor 390 de proiecte analizate au prezentat puține sau deloc probleme critice; adevăratul pericol părea să se concentreze într-un set mai restrâns de instrumente care gestionează generarea cheilor private, semnarea și tranzacțiile care asigură confidențialitatea – aceeași categorie de software care a stat la baza eșecului inițial al Coldcard, care a dat naștere întregii inițiative.

Momentul descoperirii este important, având în vedere că comunitatea Bitcoin, caracterizată de cultura auto-custodiei, a petrecut ultimele două săptămâni asimilând amploarea pierderilor provocate de Coldcard, utilizatorii canadieni reprezentând, singuri, aproximativ un sfert din fondurile furate.

Viitorul necesită evaluare

Echipa Bitcoin Red Team a menționat că auditul reprezintă prima fază a unui efort continuu, mai degrabă decât un eveniment punctual, existând planuri de a analiza lista de constatări restante, de a confirma care vulnerabilități sunt cu adevărat exploatabile și de a coordona divulgarea responsabilă cu proiectele afectate înainte ca detaliile să fie făcute publice.

Pentru o comunitate axată pe auto-custodie care încă asimilează amploarea pierderilor suferite de Coldcard, auditul servește și ca dovadă că cercetătorii „white-hat” avansează acum într-un ritm mai apropiat de cel al atacatorilor.