Hur Bitcoin-hårdvaruplånböcker stödde användarna under Coldcard-krisen

Bitcoin.com News undersökte hur de 13 största tillverkarna av dessa viktiga enheter kommunicerade på X, den främsta sociala mediekanalen för allt som rör kryptotillgångar, sedan krisen bröt ut i slutet av juli och in i augusti.

SNABBHET OCH TYDLIGHET

Teamen skilde sig åt när det gällde snabbhet, tydlighet, hjälpsamhet, tonfall, hur mycket de skryter och om de fortsatte att följa upp ärendet dagar och nu, veckor senare. Till exempel var tillverkaren av Bitkey, det USA-baserade företaget Block – som ingick i den inledande Coldcard-utredningen – bland de första att varna sina användare och den bredare gemenskapen om säkerhetsluckan, och följdes snart av det kanadabaserade företaget Blockstream, tillverkaren av Jade. För vissa andra tog det däremot mer än en dag att lägga upp ett inlägg på X. En av branschens ledare, det europeiska företaget Ledger, informerade sina följare på X ungefär 14 timmar efter att krisen bröt ut.

De som reagerade snabbast var dock inte alltid de mest grundliga.

STÖRRE MÖJLIGHETER TILL EGEN FÖRVARING

I båda fallen fanns det, bland de mönster som framträdde i plånböckernas kommunikation, en stark betoning på hur entropi genereras, eftersom teamen försökte skilja sig från Coldcard. Dessutom lyfte vissa team fram stödet för användargenererad entropi som ett sätt att minska förlitar sig på enhetens egen slumptalsgenerator (RNG).

Det fanns också olika tillvägagångssätt för hur tillverkare av enheter med sluten respektive öppen källkod har försökt lugna sina användare. Enheter med starkare öppen källkodsprofil (Passport Prime, Trezor, Bitbox, Keystone, Blockstream Jade) fokuserade på verifierbarhet, medan mer sluten källkodsbaserade konstruktioner (Ledger, Tangem, Ngrave) i högre grad förlitade sig på certifieringar och revisioner.

Dessutom diskuterade inte alla team multisignaturkonfigurationer (multisig) som ett strukturellt skydd, särskilt när det gäller konfigurationer med flera leverantörer, medan flera företag utnyttjade tillfället för att främja mer allmänna bästa praxis för självförvaring.

HJÄLP OCH SKRYT

När det gäller uppföljningarna utmärkte sig Trezor, Bitkey, Bitbox och Blockstream Jade som mer aktiva och tillhandahöll ytterligare information, medan Ledger, Tangem, Safepal och Ngrave var relativt mindre aktiva i det avseendet.

Dessutom gav inte alla team praktiska migreringsråd till drabbade användare, och Foundation (tillverkaren av Passport Prime), Bitkey, Ellipal, Jade, Bitbox och Trezor utmärkte sig genom att ge konkret vägledning. Samtidigt informerade Foundation och Trezor även om sina ytterligare säkerhetsförstärkande åtgärder. Ngrave och Ellipal verkar ha använt de starkaste marknadsföringsuttrycken, såsom ”världens säkraste”, ”ledande inom air-gapped” osv.

Låt oss nu ta en snabb titt på varje plånboks kommunikation. De är rangordnade efter sitt första inlägg på X under krisen.

REAKTIONER FRÅN DE 13 STÖRSTA BITCOIN-HÅRDVARUPLÅNBÖCKERNA PÅ COLDCARD-KRISEN

Bitkey
30 juli, kl. 22:07 EDT
Bitkey och dess tillverkare, Block, agerade proaktivt redan tidigt i Coldcard-krisen, då Blocks team självständigt utredde stölderna och publicerade en detaljerad teknisk analys som bekräftade att den seedless Bitkey-plånboken inte påverkades. Förutom tydliga förklaringar på lättförståeligt språk och varningar om att sårbara Coldcard-seed-fraser förblir utsatta även om de flyttas någon annanstans, avrådde teamet också från hastiga nya inställningar för egen förvaring. I en FAQ i mitten av augusti upprepades att Bitkey inte hade påverkats, att inga åtgärder behövdes, och man redogjorde i detalj för dess centrala 2-av-3-multisig-design. Senare kommunikation övergick till produktinformation om multisig och återställning snarare än upprepade krismeddelanden.

Blockstream Jade
30 juli, kl. 23:20 EDT
Detta team säkerställde omedelbart att Jades seedfraser genereras från flera oberoende entropikällor. Dessutom publicerade man ett praktiskt blogginlägg som beskrev en migreringsprocess i fyra steg för drabbade Coldcard-användare. Teamet redogjorde i detalj för Jades entropidesign med flera källor och betonade att den är helt öppen källkod. Den efterföljande kommunikationen fokuserade på att besvara användarnas frågor, förklara plånbokens säkerhetsfunktioner och presentera nya metoder för att skapa entropi offline.

Passport Prime
30 juli, kl. 23:33 EDT
Tillverkaren av plånboken Passport Prime svarade med ett uttalande om att alla dess modeller alltid har genererat korrekt entropi och är säkra. Därefter följde detaljerade tekniska inlägg som förklarade Coldcard-felet och deras egen hårdvarubaserade entropidesign med flera källor. Dessutom delade teamet en ytterligare granskning av sin entropiarkitektur efter incidenten. Bland de specifika nya åtgärder som tillkännagavs ingick ytterligare hälsoövervakning för att förhindra frön med låg entropi till följd av hårdvarufel, lanseringen av en entropitestningsapp för användare på Passport Prime samt planer på att publicera AI-kodgranskningsrapporter i samband med varje programvaruuppdatering.

Trezor
31 juli, 03:16 EDT
Trezor försäkrade användarna om att deras medel var säkra, men tillade snart att alla som hade flyttat ett Coldcard-genererat seed till en Trezor fortfarande löpte risk. Samma varning finns även hos de flesta andra plånböcker. Några dagar senare publicerade teamet en teknisk redogörelse för plånbokens entropidesign. Därefter fortsatte kommunikationen fram till mitten av augusti genom att man befäste sin ståndpunkt och upprepade förklaringar om entropi, varningar om nätfiske samt omnämnanden av ett eventuellt tillägg av stöd för entropi genom tärningskast. Under tiden, den 13 augusti, avslöjade Trezor att nästan 14 000 av dess kunder hade drabbats av ett dataintrång hos ShipMonk, en av Trezors fraktleverantörer.

OneKey
31 juli, 04:24 EDT
Efter att ha lugnat sina användare med att dessa enheter inte är drabbade förklarade OneKey att entropin genereras helt och hållet på enheten genom att kombinera oberoende slumpmässiga källor. I uppföljande meddelanden upprepades samma huvudpunkter, däribland dubbla entropikällor på enheten, certifiering, öppen källkodsfirmware och löpande granskning av säkerhetsföretag, samtidigt som man delade mer detaljerade artiklar, bland annat om multisig eller hur man kan höja säkerheten för en seed-fras.

Bitbox
31 juli, kl. 04:52 EDT
Innan det första uttalandet med substans den 31 juli hade teamet redan svarat i en separat, tidigare tråd att dess enheter var säkra. BitBox förklarade också att dess seed-fraser kombinerar fem oberoende entropikällor. I uppföljningarna beskrevs entropikällorna i detalj, inom ramen för ett djupgående säkerhetskoncept, och man pekade på öppen källkodsbaserad firmware, interna AI-stödda granskningar, ett bug bounty-program samt stöd för manuell entropi genom tärningskast. BitBox redogjorde även för för- och nackdelarna med en multisig-konfiguration. I ett annat sammanhang, utan koppling till Coldcard, avslöjade och åtgärdade BitBox sina egna firmwarefel. Inga utnyttjanden har rapporterats.

Keystone
31 juli, kl. 06:47 EDT
Keystones tidiga inlägg handlade om deras entropigenerering utan att nämna Coldcard-krisen, men följdes av ett nytt uttalande den 4 augusti, där man bekräftade att interna kontroller visat att alla Keystone-enheter var säkra. Senare redogjorde teamet i detalj för enhetens konstruktion och betonade att genereringsprocessen hade verifierats i varje steg. De erbjöd också två valfria lösningar, såsom att lägga till en BIP-39-lösenfras eller använda enhetens tärningsfunktion. Uppföljande svar fram till början av augusti fokuserade på designen med flera källor och alternativen med tärning/lösenfras, samtidigt som man hänvisade sina användare till den öppen källkodsbaserade firmware och de offentliga granskningsrapporterna för oberoende verifiering.

Ledger
31 juli, 12:16 EDT
Efter det inledande meddelandet om att Ledger inte påverkades av Coldcard-problemet – där man hänvisade till en certifierad, äkta slumptalsgenerator inbyggd i dess säkerhetselement – kom en mer detaljerad förklaring den 2 augusti från företagets tekniska chef Charles Guillemet. I sina uppföljningar fokuserade teamet på skillnaderna i sin teknik, samtidigt som man gav vägledning om multisig och varnade för att mer komplexa förvaringskonfigurationer också kan innebära större risker, samt erbjöd andra lösningar såsom Miniscript och MuSig2, ett tvåstegs-protokoll för multisignaturer för bitcoin. Dessutom berättade teamet hur de förbereder sig för AI-accelererade säkerhetsattacker. Även om Ledger självt inte har drabbats av några säkerhetsintrång, påverkades dess kunder av två läckor av personuppgifter som härrörde från incidenter hos tredje part.

Tangem
31 juli, kl. 15:08 EDT
Tangem var också snabba med att betona att denna enhet utan seed-frö körs på en kod som är helt skild från Coldcards. Senare i augusti hävdade Tangem att säkerheten bygger på arkitektur, testning och oberoende verifiering snarare än enbart öppen källkod. Dessutom publicerade företaget en förklaring till varför skadlig programvara som riktar sig mot seed-fröet inte fungerar mot Tangem. Teamets huvudbudskap fokuserade senare på arkitektur och certifiering.

Ellipal
1 augusti, kl. 07:21 EDT
Förutom att lugna sina användare uppmanade Ellipal dem att verifiera istället för att bara lita på produkten, eftersom enheten accepterar en seed som användaren själv genererar. Dessutom delade företaget en förklaring om hur man självständigt kan kontrollera slumpmässigheten. Två dagar senare erbjöd företaget en utdelning av verktyg för seedsäkerhet. I uppföljningarna fokuserade man på tekniska förklaringar, medan man den 5 augusti erbjöd en migreringschecklista för användare som hade skapat en seed på ett Coldcard. Ellipal var också aktivt med att varna sina användare om phishingförsök och delade till och med ett inlägg från sin konkurrent, Ledger, om öppen källkodshårdvara.

Safepal
1 augusti, kl. 14:14 EDT
SafePal fokuserade också på att skilja sig från Coldcard och förklarade att denna plånbok hämtar entropi vid skapandet av plånboken istället för att förlita sig på en enda chip eller källa. Precis som många andra plånböcker varnade även SafePal för nätfiskeförsök. Inlägget och blogginlägget den 1 augusti utgjorde i stort sett hela reaktionen, och senare delades endast ett inlägg om lösenfraser. Den 16 augusti avslöjade företaget dock att nästan 40 000 av dess kunder hade drabbats av ett dataintrång.

Ngrave
1 augusti, kl. 15:43 EDT
Ngrave fokuserade på sin genereringsprocess för ”Perfect Key”, som kombinerar flera kryptografiska tekniker, generering i air-gapped-miljö och användarens eget fingeravtryck. Senare fortsatte man att påminna användarna om att förlitan på en enda källa för nyckelgenerering utgör en enskild felkälla. Företaget uppmanade också användarna att själva verifiera utformningen. Dessutom uppgav teamet att de utnyttjar ”olika LLM-stödda utvärderingar av cyberförsvar, där de använder världens mest avancerade modeller för att säkra dina medel”, och tillkännagav sitt program för radering av kunddata.

KeepKey
1 augusti, kl. 16:25 EDT
KeepKey delade en teknisk analys från sin utvecklare och länkade även till ett blogginlägg från KeepKey som behandlade vilka som var utsatta för risk, migreringssteg och varför en multisig som enbart består av Coldcard inte skyddar mot denna typ av fel. Detta var det enda inlägget från KeepKey efter att Coldcard-krisen började, eftersom detta team inte är särskilt aktivt på X.

Sammanfattningsvis har Coldcard-krisen inte bara gett tillverkarna av hårdvaruplånböcker nya lärdomar om säkerhet, utan förhoppningsvis kommer även deras kommunikation att förbättras ytterligare när/om nästa kris inträffar.

Bitcoin.com News har kontaktat alla dessa team för kommentarer och kommer att dela med sig av deras svar, om de skulle komma.