Bitcoins ”Red Team” upptäcker 4 962 säkerhetsbrister efter hacket mot Coldcard

Ett svar på Coldcard-exploiten

Sårbarheten i Coldcard-hårdvaruplånboken ledde till att bitcoin (BTC) tömdes från långsiktiga innehavare efter en firmware-bug som uppstod i mars 2021. Förlusterna har stigit till över 116 miljoner dollar, motsvarande mer än 1 800 BTC som stulits från över 5 200 adresser.

Den händelsen ledde till en frivilliginsats kallad Bitcoin Red Team, ledd av BTC-utvecklaren Calle tillsammans med Rob Hamilton, VD för försäkringsbolaget Anchorwatch som specialiserar sig på självförvaring. De inledde en nödgranskning av det bredare öppna källkodsekosystemet för bitcoin för att testa om andra vanligt förekommande plånböcker och kodbibliotek har liknande svagheter som den som drabbade Coldcard-användarna.

Sexton säkerhetsforskare ägnade 27,5 timmar åt att genomsöka 390 öppen källkodsarkiv för bitcoin, där de kombinerade AI-stödda analyser med manuell granskning. Teamet rapporterade sammanlagt 4 962 säkerhetsproblem, varav 85 klassificerades som kritiska och 635 som allvarliga (vilket motsvarar i genomsnitt 2,31 allvarliga eller kritiska problem per forskare och timme).

Finansieringen av sprintet kom från Opensats, en ideell organisation som stöder utveckling av öppen källkod för bitcoin, vilken bidrog med nära 40 000 dollar för att stödja forskarnas arbete. Calle beskrev säkerhetsläget i ekosystemet som ”extremt dåligt”.

Analytiker som följde granskningen i realtid noterade att endast ungefär en av fem brister hittills hade kunnat reproduceras oberoende, vilket visar att många av de flaggade problemen fortfarande behöver bekräftas innan utvecklarna kan vara säkra på deras faktiska allvarlighetsgrad.

Var bristerna är koncentrerade

Verktyg för integritetsskydd och coinjoin (programvara utformad för att dölja spåren efter bitcoin-transaktioner på blockkedjan) stod för den högsta koncentrationen av allvarliga problem och utgjorde 24 % av de kritiska fynden, trots att de utgjorde en mindre andel av det totala antalet granskade projekt. Kryptografiska bibliotek genererade däremot det största antalet fynd i absoluta tal, nämligen 1 101, men endast 10 % av dessa klassificerades som mycket allvarliga, vilket tyder på att koden i allmänhet är mer mogen även om den granskas mest ingående av forskarna.

De flesta av de 390 granskade projekten hade få eller inga kritiska problem; den verkliga faran tycktes vara koncentrerad till en mindre grupp verktyg som hanterar generering av privata nycklar, signering och transaktioner som skyddar integriteten – samma kategori av programvara som låg till grund för det ursprungliga Coldcard-felet som satte igång hela detta arbete.

Tidpunkten för upptäckten är viktig, med tanke på att bitcoins kultur av egenförvaring under de senaste två veckorna har försökt ta in omfattningen av Coldcard-förlusterna, där enbart kanadensiska användare stod för ungefär en fjärdedel av de stulna medlen.

Framtiden måste utvärderas

Bitcoin Red Team har påpekat att granskningen är den första fasen i ett pågående arbete snarare än en engångshändelse, med planer på att arbeta igenom den ackumulerade mängden fynd, bekräfta vilka sårbarheter som verkligen kan utnyttjas och samordna ansvarsfull offentliggörande med de drabbade projekten innan några detaljer offentliggörs.

För en kultur präglad av självförvaring som fortfarande försöker ta in omfattningen av Coldcard-förlusterna fungerar granskningen samtidigt som ett bevis på att white-hat-forskare nu rör sig i en takt som ligger närmare angriparnas.