Var det AI som upptäckte säkerhetsbristen i Coldcard?

En samordnad stöld tömmer hundratals plånböcker

Händelsen blev känd efter att cirka 594 BTC, värda nära 38 miljoner dollar vid tidpunkten, flyttades från omkring 500 bitcoin-adresser med enkel signatur den 30 juli. När nyheten först kom ut noterade Bitcoin.com News att överföringarna skedde inom cirka 25 minuter och verkade rikta in sig på plånböcker med en gemensam teknisk svaghet.

Senare granskningar av blockkedjan utvidgade den möjliga omfattningen av stölden. Forskare uppskattade att mellan 1 082 och 1 196 adresser kan ha drabbats under en period på cirka 41 minuter. En specialanpassad översiktspanel vid namn Coldcard Sweep Watch uppskattade därefter det totala beloppet till 1 128,4717 BTC, värt cirka 71,1 miljoner dollar när bitcoin handlades nära 63 044 dollar.

Merparten av medlen samlades på en adress som innehöll hundratals bitcoin, där en stor del förblev i stort sett orörda. De berörda adresserna hade en viktig detalj gemensamt: deras återställningsfrön hade skapats på Coldcard-hårdvaruplånböcker tillverkade av det kanadensiska företaget Coinkite.

En återställningskod är en lista med ord som styr åtkomsten till en kryptovalutaplånbok. Den som kan rekonstruera eller få tag på den koden kan vanligtvis flytta plånbokens medel utan att inneha den fysiska enheten.

Coldcard upptäcker ett bristfälligt slumpgenereringssystem

Coinkite utfärdade en brådskande varning om att vissa återställningskoder som genererats på Coldcard-enheter kunde vara sårbara. Mk3-enheter med firmwareversion 4.0.1, som släpptes omkring mars 2021, samt senare versioner, tillhörde de som löpte störst risk.

Ytterligare analyser utvidgade oron till frön som skapats på vissa Mk4-, Mk5- och Q-enheter innan Coinkite släppte akuta firmwareuppdateringar. Produkter från Tapsigner, Opendime och Satscard påverkades enligt uppgift inte eftersom de använder annan programvara.

Sårbarheten gällde processen för att generera slumpmässiga data. Säkra plånböcker är beroende av högkvalitativ slumpmässighet så att deras återställningsfrön inte kan gissas. På de mest drabbade Mk3-enheterna uppskattade forskarna att fröet kan ha innehållit endast cirka 40 bitar effektiv slumpmässighet istället för de avsedda 128 bitarna.

Den skillnaden är avgörande. Ett korrekt genererat 128-bitars återhämtningsfrö anses vara praktiskt taget omöjligt att gissa med brute force-metoden. Ett 40-bitars återhämtningsfrö erbjuder dramatiskt färre möjligheter, vilket gör det möjligt för en angripare med tillräcklig datorkraft att testa potentiella återhämtningsfrön offline och jämföra de resulterande adresserna med den offentliga Bitcoin-blockkedjan.

Vissa nyare enheter kan ha tillhandahållit cirka 72 bitar effektiv slumpmässighet eftersom säker hårdvara tillförde ytterligare ett lager av oförutsägbara data. Det skulle göra startvärdena svårare att rekonstruera, även om de fortfarande är betydligt svagare än avsett.

Ett konfigurationsfel som kvarstod i 5 år

Problemet började med ett konfigurationsfel vid kompileringen som rörde två programfunktioner som utförde liknande uppgifter. Den ena funktionen använde enhetens hårdvarubaserade sanna slumptalsgenerator, medan den andra förlitade sig på en svagare programprocess som ärvt från MicroPython.

Coinkite hade för avsikt att inaktivera MicroPython-alternativet. En programvarukontroll granskade dock endast om en konfigurationsetikett hade definierats, snarare än om dess värde hade satts till noll. Som ett resultat kunde den färdiga firmware-versionen i det tysta välja den svagare funktionen.

Eftersom de två funktionerna hade samma format fortsatte programvaran att kompileras och köras utan att ge upphov till något uppenbart fel. Felet smög sig in i koden i samband med en programvarumigrering 2021 och fanns kvar i den allmänt tillgängliga firmware i mer än fem år.

Att uppdatera en enhet nu stärker inte ett seed som genererades med den felaktiga programvaran. Berörda användare måste skapa ett helt nytt seed med hjälp av korrigerad firmware eller en annan säker enhet, och sedan flytta sina medel till adresser som kontrolleras av det nya seedet.

Användare som lade till minst 50 oberoende tärningskast när de skapade sin seed kan ha tillfört tillräckligt med extra slumpmässighet för att undvika sårbarheten. En stark BIP-39-lösenfras kunde också ha gjort återuppbyggnaden svårare, medan plånböcker som kräver signaturer från flera oberoende enheter kan ha förhindrat att en komprometterad seed ensam flyttade medel.

Coinkite pekar på AI, men bevis saknas fortfarande

Coinkites VD Rodolfo Novak bad offentligt om ursäkt och sa att företaget tog fullt ansvar för felet i firmware. Han sa att teamet arbetade med en korrigerad version av programvaran, tekniska rapporter och support för drabbade användare.

Coinkite och Novak lade också fram en slående teori om hur bristen upptäcktes. Eftersom företagets firmware hade varit allmänt tillgänglig i flera år sa företaget att man trodde att någon kan ha använt AI för att granska äldre versioner av koden och lokalisera den svaga slumpmässighetsvägen.

”Till alla andra utvecklare: vi tror att detta är en allvarlig verklighet i det nya AI-paradigmet. AI-stödd kodgranskning kan nu hitta dolda buggar i en hastighet som överträffar till och med branschens mest erfarna experter”, skrev Novak i sitt ursäktsinlägg som publicerades på X. ”Om er firmware är öppen källkod eller någonsin har varit offentlig, utgå från att den redan läses av såväl angripare som försvarare.”

Dagens moderna AI-kodningssystem kan bearbeta stora programvarurepositorier och identifiera misstänkta samband mellan konfigurationsinställningar, funktioner och säkerhetsantaganden. En angripare skulle kunna be ett sådant system att specifikt leta efter svaga slumptalsgeneratorer, reservfunktioner eller fel som påverkar kryptografiska nycklar.

Oberoende forskare rapporterade senare att de använde AI-modeller för att lokalisera eller förklara problemet efter att det underliggande slumpmässighetsproblemet hade upptäckts. Detta visade hur tillgänglig AI-stödd kodanalys har blivit, men det bevisade inte att den ursprungliga angriparen använde AI.

Coinkite medgav att deras egen granskning med hjälp av en ledande AI-modell inte lyckades upptäcka bristen före stölden. Det resultatet visar att AI-system inte automatiskt upptäcker alla allvarliga brister. Deras prestanda kan bero på de instruktioner de får, mängden kod som tillhandahålls och om en mänsklig granskare förstår varningssignalerna.

Kritikerna menar att det mänskliga misstaget kom först

Vissa säkerhetsspecialister hävdar att en alltför stor fokusering på artificiell intelligens (AI) riskerar att avleda uppmärksamheten från ett grundläggande tekniskt fel. Många anser att konfigurationsfelet var en känd typ av programvarufel, och att konventionella kodgranskningar, testförfaranden eller revisioner inriktade på generering av startvärden kunde ha upptäckt det flera år tidigare.

De motsatta åsikterna är inte nödvändigtvis oförenliga. Ett mänskligt fel skapade sårbarheten och lät den bestå, medan AI kan ha sänkt kostnaden för att upptäcka, förstå eller utnyttja den. Försvarare måste identifiera varje farlig svaghet, medan en angripare bara behöver hitta en.

Händelsen ifrågasätter också antaganden om säkerheten kring öppen källkod. Offentlig kod gör det möjligt för oberoende experter att granska programvaran, men tillgängligheten i sig garanterar inte att någon kommer att granska rätt del, upptäcka en subtil brist och rapportera den innan en angripare agerar.

För Coldcard-användare är den omedelbara prioriteringen att fastställa när och hur deras seed skapades. Alla som har en drabbad seed måste verifiera instruktionerna via Coinkites officiella kanaler, installera korrigerad firmware, skapa en ny seed och flytta sina medel försiktigt samtidigt som de håller utkik efter phishing-försök och falska supportmeddelanden.

De mer långsiktiga frågorna kommer att handla om hur mycket bitcoin som stulits, om utredarna kan identifiera angriparen och om AI spelade någon avgörande roll för att upptäcka säkerhetsbristen. Företag som tillverkar hårdvaruplånböcker kommer också att utsättas för påtryckningar att stärka entropitestningen, granska byggkonfigurationer och kontinuerligt undersöka gammal kod med både mänskliga experter och AI-verktyg utformade för att upptäcka säkerhetsbrister.