Ipinaliwanag ang Coldcard Exploit: Sino ang Nawalan ng Bitcoin at Sino ang Nanganganib

Ayon sa isang malalim na pagsusuri mula sa Galaxy Research, naganap ang pangunahing pagnanakaw sa isang mahigpit na koordinadong bugso na tumagal ng humigit-kumulang 25 minuto, habang kalaunan ay ikinonekta ng mas malawak na pagsusuri ang tinatayang 1,196 address at hanggang 1,083 bitcoin, na nagkakahalaga ng halos $70 milyon, sa aktibidad na umabot sa humigit-kumulang 41 minuto. Maaaring magbago ang mga pinal na bilang habang patuloy na sinusubaybayan ng mga imbestigador ang mga transaksyon sa pampublikong Bitcoin blockchain.

Isang 5-Taong-Gulang na Bug ang Umabot sa Mga Bitcoin Wallet sa Buong Mundo

Ang mga apektadong wallet ay pag-aari sa malaking bahagi ng mga pangmatagalang may hawak na gumawa ng kanilang recovery seed gamit ang mga Coldcard device na tumatakbo sa marupok na firmware na inilabas mula Marso 2021 pataas. Ang Coldcard ay isang air-gapped hardware wallet na ginawa ng Canadian manufacturer na Coinkite at dinisenyo upang panatilihing hiwalay ang mga bitcoin (BTC) key mula sa mga device na nakakonekta sa internet.

Marami sa mga naubos na address ay nanatiling dormant sa loob ng maraming taon. Kumilos nang mabilis ang umaatake, nagbayad ng mas matataas na fixed transaction fee, at walang iniwang change outputs, ibig sabihin ay lubos na naubos ang bawat address. Iminumungkahi ng pattern na iyon ang isang automated na operasyon na gumagamit ng inihandang listahan ng mga private key sa halip na magkakahiwalay na paglipat ng pondo ng mga customer.

Ang pagnanakaw ay hindi sanhi ng phishing, malware sa computer ng user, pisikal na pagnanakaw ng device, o isang karaniwang remote breach. Sa halip, isang error sa firmware ang nagpahina sa randomness na ginamit nang lumikha ang ilang Coldcard device ng wallet seed. Mukhang normal ang mga seed na iyon ngunit nagmula sa mas maliit na hanay ng mga posibleng kombinasyon kaysa sa ipinangako sa mga user.

Tahimik na Pumalya ang Random Number Generator ng Coldcard

Ang Bitcoin wallet seed ay isang lihim, karaniwang ipinapakita bilang 12 o 24 na salita, kung saan nagmumula ang mga address at private key ng wallet. Ang maayos na nalikhang 12-word seed ay naglalaman ng 128 bits ng entropy, isang teknikal na sukatan na naglalarawan ng napakalaking bilang ng mga posibleng kombinasyon na ginagawang halos imposibleng hulaan ang seed.

Dapat sanang kunin ng mga Coldcard device ang randomness na iyon mula sa hardware random number generator sa loob ng microcontroller ng device. Kumukuha ang component na iyon mula sa pisikal na electrical noise na hindi dapat mahulaan ng isang tagamasid sa labas.

Gayunman, sa isang migration ng software-library noong 2021, ibinunyag ng Coinkite na dalawang random-number function na may magkaparehong interface ang nagkalito. Ang isa ay uma-access sa tamang hardware generator ng device. Ang isa pa ay isang mahina na software fallback na inilaan para sa mga board na walang angkop na hardware.

Isang configuration setting ang nag-disable sa default na MicroPython hardware path dahil nagbigay ang Coinkite ng sarili nitong hardware wrapper. Tiningnan lamang ng software kung umiiral ang setting na iyon, hindi kung naka-enable ito. Dahil naroon ang setting ngunit nakatakda sa value na zero, matagumpay na natapos ang build, habang ang pagbuo ng seed ay tahimik na lumipat sa mas mahinang software generator.

Pinalitan ng Factory Data at Timing ang Tunay na Randomness

Ang fallback na iyon ay lubhang umasa sa mahuhulaang impormasyon ng device, kabilang ang isang chip identifier na kahawig ng serial number at mga internal clock value na may kaugnayan sa timing ng pag-start. Ang isang umaatake na makakapagpaliit ng mga input na iyon ay haharap sa mas maliit na paghahanap kaysa sa 128-bit na saklaw na inaasahan mula sa isang ligtas na nalikhang seed.

Tinataya ng Coinkite ang epektibong search space para sa marurupok na Mk3 seed sa humigit-kumulang 40 bits sa ilalim ng kasalukuyang mga palagay. Malaki pa rin iyon na bilang ng mga posibilidad, ngunit maaari itong ma-search gamit ang specialized computing equipment, lalo na kapag maihahambing ng umaatake ang mga candidate seed laban sa mga bitcoin address na nakikita sa blockchain.

Ang mga mas bagong Coldcard model, kabilang ang Mk4, Q at Mk5, ay nagdagdag ng ilang randomness mula sa isang secure element. Gayunman, limitado lamang ang bahaging nakarating sa apektadong generator, kaya tinatayang 72 bits ng epektibong entropy ang napupunta sa mga seed na nalikha bago na-install ang itinamang firmware. Mas matibay iyon kaysa sa Mk3 path ngunit mas mababa pa rin sa nilalayong 128-bit na pamantayan.

Ang pagkakaiba ay tulad ng pagpapalit ng tunay na random na kombinasyon ng kandado ng isa na hinango mula sa serial number ng kandado at oras kung kailan ito unang binuksan. Maaaring magmukhang random ang resultang kombinasyon, ngunit ang sinumang nakakaalam ng formula at kayang tantiyahin ang panimulang impormasyon ay maaaring muling likhain ito. Maraming user ang lumilipat, hindi lamang mula sa Mk3 device, kundi mula rin sa Mk4, Q, at Mk5.

Sinabihan ng Coinkite ang mga User na Lumikha ng Ganap na Bagong Seed

Naglabas ang Coinkite ng mga security advisory at itinamang firmware matapos nilang malaman ang aktibong banta. Sinabi ng kumpanya na ang mga user na nakagawa ng seed sa apektadong firmware ay dapat lumikha ng ganap na bagong seed gamit ang naayus na bersyon at ilipat ang kanilang bitcoin sa mga address na kontrolado ng seed na iyon.

Hindi sapat ang pag-install lamang ng update. Ang seed na nalikha sa ilalim ng may depektong sistema ay mananatiling mahina nang permanente dahil hindi na makakadagdag ng randomness ang firmware update sa mga salitang umiiral na.

Pinayuhan ng Coinkite ang mga user na i-update ang kanilang device, lumikha ng bagong seed, i-verify ang backup at wallet fingerprint, kumpirmahin ang receiving address, magpadala ng maliit na test transaction, at saka ilipat ang natitirang balanse. Dapat panatilihin ng mga user ang lumang backup hanggang makumpirma ang paglilipat, ngunit hindi na dapat ituring na ligtas ang lumang seed.

Tinukoy ng kumpanya ang mga naayus na release kabilang ang Mk3 version 4.2.0 o mas bago, Mk4 at Mk5 version 5.6.0 o mas bago, at Q version 1.5.0Q o mas bago, kasama ang katumbas na Edge version. Ang mga produktong Tapsigner, Opendime, at Satscard ay gumagamit ng ibang code at iniulat na hindi apektado.

Nagdagdag na Seguridad ang Nagprotekta sa Ilang Coldcard Owner

Ang mga user na nagdagdag ng sapat na independent dice rolls kapag lumilikha ng seed ay mas naprotektahan dahil nanaig ang sarili nilang randomness laban sa may depektong software input. Sinabi ng Coinkite na hindi bababa sa 50 pribadong roll ng isang patas na dice ang nagbigay ng sapat na proteksyon laban sa isyung ito, bagama’t ang dagdag na roll ay makapagbibigay ng mas malawak na safety margin.

Ang isang matibay na BIP-39 passphrase ay lumilikha rin ng hiwalay na wallet na hindi maibabalik mula sa seed words lamang. Ang mga multi-signature wallet, na nangangailangan ng mga key mula sa maraming device o lokasyon bago mailipat ang bitcoin, ay sa malaking bahagi o ganap na naprotektahan kapag ang marupok na Coldcard seed ay isa lamang bahagi ng signing arrangement.

Gayunman, opsyonal ang mga safeguard na iyon. Maraming biktima ang tila sumunod sa karaniwang payo sa seguridad na makukuha noon: Bumili ng kagalang-galang na hardware wallet, bumuo ng seed offline, protektahan ang backup, at huwag kailanman ilagay ito sa device na nakakonekta sa internet.

Tinatanggap ng Coinkite ang Sisi Habang Nauuwi ang Debate sa AI

Ang CEO ng Coinkite na si Rodolfo Novak, na kilala bilang NVK, ay humingi ng paumanhin sa publiko noong Hulyo 31 at sinabing tinatanggap ng kumpanya ang buong pananagutan para sa pagkabigo ng firmware. “I’m sorry and I’m devastated. Our team is heartbroken about yesterday’s news,” isinulat ni Novak. Kinilala niya na sinisiguro ng hotfix ang mga bagong nalilikhang seed ngunit hindi nito maaayos ang mga seed na nalikha sa ilalim ng marupok na software.

Ipinaliwanag ni Novak na maglalathala ang Coinkite ng kumpletong teknikal na salaysay matapos mapatunayan ang mga detalye at tutulong sa mga apektadong user na naghahanap ng police report, insurance claim, o independent na imbestigasyon. Nagbabala rin siya sa mga developer na ang mga tool ng artificial intelligence (AI) ay maaari nang magsuri ng lumang pampublikong code para sa mga nakatagong kahinaan nang mas mabilis kaysa sa maaaring matukoy ng tradisyunal na proseso ng pagrepaso.

Binigyang-diin ng Coinkite na kailangan nilang ipalagay na gumamit ang umaatake ng AI upang siyasatin ang kanilang open-source firmware, bagama’t wala pang ebidensyang nagpapatunay kung paano natuklasan ang depekto. Kinilala rin ng kumpanya na ang isang kamakailang review na isinagawa gamit ang isang nangungunang AI model ay nabigong matukoy ang problema. Ilang kakompetensyang hardware wallet manufacturer ang nag-post sa social media upang sabihin na hindi apektado ang kanilang mga produkto.

“Hindi apektado ang Ledger ng kamakailang inilathalang Coldcard Mk3 advisory,” sinabi ng kumpanya sa mga user ng X matapos ang insidente ng Coldcard. “Gumagamit ang mga Ledger device ng isang certified True Random Number Generator (TRNG) na direktang nakapaloob sa aming Secure Element chip, na lumilikha ng buong 256 bits ng entropy para sa bawat 24-word Secret Recovery Phrase.”

“Mga Trezor user: ligtas ang inyong mga pondo,” ipinaliwanag ng hardware wallet maker na Trezor noong Biyernes. “Ang kamakailang isyu sa Coldcard ay limitado sa sarili nilang custom firmware at kung paano bumuo ng randomness ang ilan sa kanilang mga device. Hindi ibinabahagi ng Trezor ang code na iyon.”

Idinagdag ng Trezor X account:

“Palagi naming hinahalo ang maraming independent na pinagmumulan ng randomness (hardware ng device + host + secure elements sa mga mas bagong modelo). Tunay kaming nalulungkot para sa lahat ng nawalan ng bitcoin.”

Ano ang Dapat Bantayan ng mga Coldcard User sa Susunod

Hindi pa rin kilala ang pagkakakilanlan ng umaatake, at maaaring ilipat ang ninakaw na bitcoin mula sa mga consolidation address nito anumang oras. Patuloy pang pinagsisikapan ng mga imbestigador na matukoy kung ilang marurupok na seed ang aktuwal na nalikha, kung gaano karaming bitcoin ang nananatiling lantad, at kung may mga karagdagang high-value wallet na natukoy na ng umaatake. Gayunman, maaaring kakaunti ang impormasyon ng Coinkite tungkol sa mga owner mula pa noong matagal na panahon.

“Masayang double-edged sword: Binubura ng Coinkite ang lahat ng customer record nila matapos ang 120 araw upang protektahan laban sa data breach,” iniulat sa X ng co-founder ng Casa na si Jameson Lopp. “Ibig sabihin, hindi nila kayang makipag-ugnayan sa mga customer na bumili ng marurupok na coldcard sa nakalipas na 5 taon upang balaan sila tungkol sa kahinaang ito.”

Susubukin din ng insidente kung maibabalik ng Coinkite ang tiwala sa Coldcard at kung mag-aampon ang mga gumagawa ng hardware wallet ng mas matitibay na independent na pagrepaso sa pagbuo ng seed. Para sa mga user, mas simple ang agarang prayoridad: Sinumang gumawa ng seed sa apektadong firmware nang walang matibay na independent dice entropy, passphrase, o multisignature na proteksyon ay dapat itong ituring na kompromiso at maingat na ilipat ang pondo sa isang bagong likhang wallet.

Higit pa sa nakapipinsalang pagnanakaw, pinapatunog na ng mga bitcoiner sa buong komunidad ang alarma at hinihikayat ang iba na ipakalat ang balita bago maubos ang mas marami pang marurupok na wallet.