Izhodiščne fraze: 12 besed, ki vas ločijo od izgube vsega

Besede niso geslo. So denar.

Izhodiščna fraza, običajno 12 ali 24 besed, izbranih iz standardiziranega seznama 2.048 besed, ni prijavni podatek, ki omogoča dostop do sredstev, shranjenih drugje. Matematično gledano je to denarnica. Vsaka od teh besed kodira del surove entropije, ki jo deterministični algoritem (opredeljen v standardu BIP39) pretvori v glavni zasebni ključ, in vsak bitcoin naslov, ki ga je denarnica kdajkoli ustvarila ali ga bo kdajkoli ustvarila, izhaja iz tega enega samega ključa.

Ni nobene podatkovne baze podjetja, ki bi hranila kopijo, ni nobene službe za pomoč strankam, ki bi lahko poiskala pozabljeno geslo, in ni postopka »pozabljeno geslo«. Kdor koli lahko predloži te besede, nadzira vsak kovanec, ki ga te besede lahko izpeljejo (takoj in nepovratno).

Prav zato je januarska kraja uspela brez kakršnega koli tehničnega izkoriščanja. Podjetje ZeroShadow, specializirano za forenzično analizo verige blokov, ki je kasneje pomagalo pri sledenju ukradenih sredstev, je to opisalo kot posledico »socialnega inženirstva in ne kakršnega koli vdora v programsko opremo denarnice ali infrastrukturo zasebnih ključev«.

Napadalec ni moral ničesar vdreti. Potreboval je le, da je žrtev vnesla 12 besed na napačno mesto, nato pa je hitro ukrepal: približno 139 milijonov dolarjev v bitcoinih in 153 milijonov dolarjev v litecoinih je bilo v nekaj minutah razdeljenih prek mostov THORChain, prek storitev takojšnje menjave pretvorjenih v monero ter prek prenosov po stranskih verigah (peel-chain) razporedljenih v več plasteh.

Nadzorni ekipi podjetja ZeroShadow je v 20 minutah uspelo zaznati in zamrzniti približno 700.000 dolarjev tega zneska, kar je redka delna rešitev in opomin, kako majhen delež ukradenih izhodiščnih fraz je običajno sploh mogoče izterjati.

Zakaj je 12 besed pravzaprav ogromno število

Vsaka beseda BIP39 nosi 11 bitov entropije, saj ima seznam besed natanko 2.048 (2^11) vnosov. 12-besedna fraza vsebuje približno 128 bitov skupne entropije, če upoštevamo vgrajeno kontrolno vsoto, 24-besedna fraza pa 256 bitov.

To niso le »večja« števila kot pri običajnem geslu, ampak so astronomsko večja. Brute-force napad na vsako možno kombinacijo celotne 12-besedne fraze bi, celo ob izredno velikodušnih 1 milijardi poskusov na sekundo, trajal okoli 10^22 let. Vesolje je staro približno 13,8 milijarde let.

Ni realistične količine prihodnje računske moči, ki bi zapolnila to vrzel; ugibanje popolne, neznane izhodiščne fraze ni tveganje, na katerega bi se moral kdor koli pripravljati.

Nevarnost nikoli ni v matematiki, ampak v izpostavljenosti. Če pride do uhajanja le peščice besed ali če napadalec nekatere od njih izve iz fotografije, varnostne kopije v oblaku ali prevare, pri kateri se napadalec izdaja za podporo, se preostali prostor za iskanje katastrofalno sesuje, namesto da bi se zmanjševal postopoma. Zgornji grafikon prikazuje, zakaj: če je 6 od 12 besed že znanih, bi dešifriranje preostalih pri isti hitrosti ugibanja še vedno trajalo približno 1.169 let (kar je še vedno varno).

A ko je znanih 7 besed, se ta številka zmanjša na manj kot eno leto. Pri 8 znanih besedah je to nekaj ur. Pri 10 ali 11 znanih besedah pa gre za milisekunde. Varnost se ob razkritju besed ne zmanjšuje linearno; strmo se zniža, kar je točno razlog, zakaj »samo prvih šest besed« ali »polovica moje fraze« ni bistveno varnejša informacija za razkritje kot celotna fraza.

Edina funkcija, zasnovana za odkrivanje napak, ne pa napadalcev

Kontrolna vsota BIP39 obstaja zaradi veliko bolj vsakdanjega razloga kot je varnost pred ugibanjem: odkriva tipkarske napake. Zadnja beseda izhodiščne fraze ni povsem naključna; nekaj njenih bitov predstavlja kontrolno vsoto, izračunano iz drugih besed, tako da lahko denarnica preveri, ali je bila fraza pravilno prepisana.

Če napačno zapišete eno besedo, je zelo velika verjetnost, da bo denarnica frazo označila za neveljavno takoj, ko jo boste poskušali obnoviti, namesto da bi tiho ustvarila denarnico z drugačnim, praznim stanjem. To je le majhen del zasnove, vendar je razlog, da se poškodovana varnostna kopija običajno takoj razkrije, namesto da bi se spremenila v počasno katastrofo, ki bi jo odkrili šele mesece kasneje.

Milijoni kovancev dokazujejo, da večje tveganje ni kraja

Kljub vsej pozornosti, ki jo pritegne phishingovska kraja v višini 282 milijonov dolarjev, je veliko večji, a tišji vzrok izgube preprostejši: ljudje izgubijo dostop do svojih lastnih gesel. Ocene se razlikujejo, vendar je podjetje za analizo verige blokov Chainalysis ocenilo, da je kar 23 % vseh pridobljenih bitcoinov (več milijonov BTC od približno 19,8 milijona, pridobljenih do danes) trajno nedostopnih, predvsem zaradi pozabljenih fraz, uničenih varnostnih kopij in smrti brez kakršnega koli načrta za dedovanje gesel. Noben heker, nobena ranljivost, nobena phishing stran, le denarnica, ki je nihče več ne more odpreti in v kateri so shranjene kovanice, ki se nikoli več ne bodo premaknile.

To je prava teža izhodiščne fraze, tj. ne gre za geslo, ki si ga je treba zapomniti, ampak za edini, nepogrešljivi dokaz lastništva nad sredstvom, za katerega sploh ni mehanizma za obnovo. Če je napačno zapisana, varno odpove. Če je razkrita vsaj delno, se varnost hitro sesuje. Če je popolnoma izgubljena, brez kakršne koli rezerve, bitcoin, ki se skriva za njo, preprosto preneha obstajati za kogarkoli.