Bitcoinova »Red Team« je po hekerskem napadu na Coldcard odkrila 4.962 pomanjkljivosti

Odziv na izkoriščanje ranljivosti v Coldcardu

Zloraba strojne denarnice Coldcard je izčrpala bitcoine (BTC) dolgoročnim imetnikom po napaki v firmwareju, ki sega v marec 2021. Izgube so presegle 116 milijonov dolarjev, saj je bilo iz več kot 5.200 naslovov izčrpanih več kot 1.800 BTC.

Ta dogodek je spodbudil prostovoljsko pobudo z imenom Bitcoin Red Team, ki jo vodi razvijalec BTC Calle skupaj z Robom Hamiltonom, izvršnim direktorjem zavarovalnice za samostojno hrambo Anchorwatch. Začeli so nujno revizijo širšega odprtokodnega ekosistema bitcoina, da bi preverili, ali imajo druge široko uporabljane denarnice in knjižnice kode podobne slabosti kot tista, ki je prizadela uporabnike Coldcarda.

Šestnajst varnostnih raziskovalcev je 27,5 ur prečesavalo 390 odprtokodnih bitcoinovih repozitorijev, pri čemer so združili analizo z umetno inteligenco (AI) z ročnim pregledom. Ekipa je zabeležila skupno 4.962 varnostnih ugotovitev, od katerih je bilo 85 razvrščenih kot kritičnih in 635 kot visoko resnih (kar pomeni povprečno 2,31 visoko resne ali kritične ugotovitve na raziskovalca na uro).

Financiranje za ta »sprint« je zagotovila Opensats, neprofitna organizacija, ki podpira razvoj odprtokodnega bitcoina in je za podporo delu raziskovalcev prispevala skoraj 40.000 dolarjev. Calle je stanje varnosti ekosistema opisal kot »izjemno slabo«.

Analitiki, ki so v realnem času spremljali revizijo, so ugotovili, da je bilo doslej neodvisno ponovljeno le približno eno od petih odkritij, kar kaže, da je za številne označene težave še vedno potrebna potrditev, preden se bodo razvijalci lahko prepričali o njihovi resnični resnosti.

Kje so pomanjkljivosti najbolj koncentrirane

Največ resnih težav je bilo v orodjih za zasebnost in coinjoin (programska oprema, namenjena prikrivanju sledi bitcoin transakcij v verigi), ki so predstavljala 24 % kritičnih ugotovitev, čeprav so predstavljala manjši delež vseh pregledanih projektov. Kriptografske knjižnice so nasprotno ustvarile največje število ugotovitev, in sicer 1.101, vendar je bilo le 10 % od teh ocenjenih kot visoko resnih, kar kaže, da je koda na splošno zrelejša, čeprav je pod največjim nadzorom raziskovalcev.

Večina od 390 pregledanih projektov je imela le malo kritičnih težav ali pa jih sploh ni imela; prava nevarnost se je zdela osredotočena na manjšo skupino orodij, ki se ukvarjajo z ustvarjanjem zasebnih ključev, podpisovanjem in transakcijami, ki ohranjajo zasebnost – isto kategorijo programske opreme, ki je bila vzrok prvotne napake Coldcard, s katero se je celotno prizadevanje sploh začelo.

Čas odkritja je pomemben, saj je kultura samostojnega hranjenja bitcoinov v zadnjih dveh tednih še vedno predelovala obseg izgub zaradi Coldcarda, pri čemer so kanadski uporabniki sami predstavljali približno četrtino ukradenih sredstev.

Ocena prihodnjih potreb

Bitcoin Red Team je opozoril, da je revizija prva faza tekočega prizadevanja in ne enkraten dogodek; načrtujejo namreč, da bodo obdelali zaostanke pri ugotovitvah, potrdili, katere ranljivosti so resnično izkoriščljive, ter uskladili odgovorno razkritje z zadevnimi projekti, preden bodo kakršni koli podrobnosti objavljeni.

Za kulturo samostojnega hranjenja, ki še vedno dojemlja obseg izgub zaradi Coldcard, revizija hkrati služi kot dokaz, da se raziskovalci »white-hat« zdaj gibljejo v ritmu, ki je bližje ritmu napadalcev.