Isinagawa ng isang attacker ang pagpapahina sa mga maliwanag na seed na ginawa ng ilang Coldcard hardware wallet upang makuha ang bitcoin na may halagang ilang milyon mula sa mga daan-daang address noong Hulyo 30.
Mga Pangunahing Nakuhang Impormasyon
- Ang mga pagkakawala na may kinalaman sa Coldcard ay nagbawas ng bitcoin mula sa mga hundreds ng wallet noong July 30.
- Sabi ng Coinkite, ang mga Mk3 seed ay may halos 40 bits ng entropy替代 128.
- Kailangan ng mga gumagamit ng Coldcard na i-install ang fixed firmware at lumikha ng mga bagong seed bago ilipat ang kanilang pera.
Ayon sa isang malalim na pagsusuri mula sa Galaxy Research, ang pangunahing pagkakawala ay nangyari sa isang malapit na koordinadong pag-atake na tumagal ng halos 25 minuto, habang ang mas malawak na pagsusuri ay naglink sa halos 1,196 na address at hanggang 1,083 bitcoin, na may halagang halos $70 milyon, sa aktibidad na tumagal ng halos 41 minuto. Ang huling mga numero ay maaaring magbago habang patuloy na tinatraya ng mga imbestigador ang mga transaksyon sa publikong Bitcoin blockchain.
Isang bug na 5 taon ay nakarating sa mga wallet ng bitcoin sa buong mundo
Ang mga nasaktang wallet ay karamihan ay nagmula sa mga matagal nang tagapag-imbak na gumamit ng kanilang recovery seeds gamit ang Coldcard devices na nagpapatakbo ng vulnerable firmware na inilabas mula sa Marso 2021 patungo sa pagkakaroon. Ang Coldcard ay isang air-gapped hardware wallet na gawa ng Canadian manufacturer na Coinkite at disenyo upang panatilihin ang mga bitcoin (BTC) key na hiwalay sa mga device na konektado sa internet.
Marami sa mga nasirang address ay nanatiling walang gawain sa loob ng maraming taon. Mabilis na naglipat ang attacker, binayad ang mas mataas na fixed transaction fees, at hindi nag-iwan ng change outputs, kaya ang bawat address ay buong-binuksan. Ang pattern na ito ay nagmumungkahi ng isang automated na operasyon na gumagamit ng isang handa listahan ng private keys kaysa sa mga customer na naglilipat ng kanilang mga pondo nang hiwalay.
Hindi nagmula sa phishing, malware sa kompyuter ng user, pagkakawala ng pisikal na device o karaniwang remote breach ang pagkakawala. Sa halip, isang firmware error ang nagdulot ng pagkamali sa randomisasyon na ginamit nang lumikha ang ilang Coldcard device ng wallet seeds. Ang mga seed na ito ay tila normal pero galing sa isang mas maliit na saklaw ng mga posibleng kombinasyon kaysa sa ipinangako sa mga user.
Ang Random Number Generator ng Coldcard ay Nagsagawa nang Tahimik na Pagkabigo
Ang Bitcoin wallet seed ay isang lihim, karaniwang ipinapakita bilang 12 o 24 na salita, mula sa kung saan nagbuo ang wallet ng mga address at private keys nito. Ang isang tama na nagbuong 12-salitang seed ay naglalaman ng 128 bits ng entropy, isang teknikal na tukoy na naglalarawan sa isang napakalaking bilang ng mga posibleng kombinasyon na ginagawa ang paghula sa seed na epektibong imposible.
Dapat na makakuha ang mga device na Coldcard ng random na ito mula sa isang hardware random number generator sa loob ng microcontroller ng device. Ang komponenteng ito ay nagmumula sa pisikal na elektrikal na ingay na hindi dapat makapagpalaya ng isang panlabas na manonood.
Sa panahon ng isang software-library migration noong 2021, ngunit inilahad ng Coinkite na dalawang random-number functions na may magkakaparehong interface ay naging kalituhan. Isa ay nag-access sa tamang hardware generator ng device. Ang isa pa ay isang mahinang software fallback na inilalarawan para sa mga board na walang angkop na hardware.
Isinara ng isang configuration setting ang default MicroPython hardware path dahil nagbigay ang Coinkite ng sarili nitong hardware wrapper. Tinitiyak ng software kung mayroon lang ang setting, hindi kung ito ay pinagana. Dahil present ang setting ngunit may halagang zero, natapos nang matagumpay ang build, habang ang seed generation ay nagsilip sa mas mahinang software generator.
Natanggal ang Factory Data at Timing at Inilipat ang Totoong Randomness
Ang fallback na ito ay nagsasalig sa malaking antas ng makabuluhang impormasyon ng device, kabilang ang isang chip identifier na katulad ng serial number at mga panloob na halaga ng orasan na kaugnay sa pag-start. Ang isang attacker na makakapagpaliit ng mga input na ito ay magkakaroon ng mas maliit na hanap kaysa sa 128-bit na saklaw na inaasahan mula sa isang ligtas na ginawang seed.
Ipinagpalagay ng Coinkite na ang epektibong lawak ng paghahanap para sa mga vulnerable na Mk3 seeds ay halos 40 bits batay sa kasalukuyang mga asumpsyon. Patuloy pa ring malaking bilang ng mga posibilidad, ngunit maaaring masuri ito gamit ang espesyalisadong kagamitang pangkompyuter, lalo na kung ang isang attacker ay makakapagkumpara ng mga kandidatong seeds laban sa bitcoin addresses na nakikita sa blockchain.
Ang mga mas huling modelo ng Coldcard, kabilang ang Mk4, Q at Mk5, ay nagdagdag ng ilang randomness mula sa isang secure element. Gayunpaman, ang isang limitadong bahagi lamang ang nakarating sa apektadong generator, nananatiling may halos 72 bits ng epektibong entropy sa mga seed na nilikha bago isinampa ang corrected firmware. Mas malakas ito kaysa sa Mk3 path ngunit nananatiling mas mababa sa layuning 128-bit na pamantayan.
Ang pagkakaiba ay katulad ng pagpapalit ng totoong random na kombinasyon ng lock sa isang kombinasyon na nagmumula sa serial number ng lock at sa oras kung kailan ito unang naka-on. Ang resultang kombinasyon ay maaaring magmukhang random, ngunit ang isang tao na alam ang pormula at makakapaghula ng simulang impormasyon ay maaaring muling iproduko ito. Maraming gumagamit ang nagmamigrasyon, hindi lamang mula sa mga device na Mk3, kundi mula rin sa Mk4, Q, at Mk5.
Sabihin ng Coinkite sa mga gumagamit na lumikha ng buong bagong mga seed
Coinkite ay naglabas ng mga abiso sa seguridad at ayon sa pagkakatuklas ng aktibong banta, inayos ang firmware. Sinabi ng kumpanya na ang mga gumagamit na nag-generate ng seeds sa naapektuwang firmware ay dapat gumawa ng ganap na bagong seed gamit ang naiayos na bersyon at mag-transfer ng kanilang bitcoin sa mga address na kontrolado ng bagong seed.
Hindi sapat ang pag-install ng update lamang. Ang seed na nilikha sa masamang sistema ay nananatiling mahina nang permanenteng dahil ang firmware update ay hindi makakadagdag ng randomness sa mga salitang nasa loob na.
Inirerekomenda ng Coinkite sa mga user na i-update ang kanilang device, lumikha ng bagong seed, i-verify ang backup at ang wallet fingerprint, i-confirm ang receiving address, magpadala ng maliit na test transaction, at pagkatapos ay ilipat ang natitirang balanse. Dapat panatilihin ng mga user ang lumang backup hanggang sa ma-verify ang pag-transfer, ngunit hindi na dapat ituring na ligtas ang lumang seed.
Nakakilala ang kumpanya ng mga fixed release kabilang ang Mk3 version 4.2.0 o higit pa, Mk4 at Mk5 version 5.6.0 o higit pa, at Q version 1.5.0Q o higit pa, kasama ang mga kaugnay na Edge versions. Ang mga produkto na Tapsigner, Opendime, at Satscard ay gumagamit ng iba’t ibang code at ayon sa mga ulat, hindi nasasakop.
Idinagdag ang Security na Nagprotekta sa Ilan sa mga Tagapag-angkop ng Coldcard
Ang mga gumamit na nagdagdag ng sapat na mga paghuhulog ng dice habang nagpapagawa ng seed ay malakas na naiwasan dahil sa kanilang sariling randomness ay naglabas ng maling software input. Sinabi ng Coinkite na ang kahit anong 50 pribadong paghuhulog ng isang patas na dice ay sapat para protektahan mula sa problema na ito, bagaman ang karagdagang paghuhulog ay maaaring magbigay ng mas malawak na safety margin.
Ang isang malakas na BIP-39 passphrase ay gumagawa rin ng hiwalay na wallet na hindi maaaring muling itayo gamit ang mga seed words lamang. Ang mga multi-signature wallet, na nangangailangan ng mga key mula sa maraming device o lokasyon bago makagalaw ang bitcoin, ay malawak o buong protektado kapag ang vulnerable na Coldcard seed ay naglalaro lamang bilang isang bahagi ng signing arrangement.
Gayunpaman, ang mga panatag na ito ay opsyonal. Maraming biktima ang tila sumunod sa karaniwang payo sa seguridad na available noong panahong iyon: Bumili ng isang kilalang hardware wallet, lumikha ng seed nang offline, protektahan ang backup, at huwag kailanman i-enter ito sa anumang device na konektado sa internet.
Kinikilala ni Coinkite ang pagkakamali habang ang debate ay umuusbong tungkol sa AI
Ang CEO ng Coinkite, Rodolfo Novak, na kilala nang malawak bilang NVK, ay nagpapatawad sa publiko noong Hulyo 31 at sinabi na tinanggap ng kumpanya ang buong responsibilidad para sa pagkabigo ng firmware. “Nagsisisi ako at naiiyak ako. Ang aming tim ay nasasaktan dahil sa balita kahapon,” isinulat ni Novak. Kilala niya na ang hotfix ay nagpapalakas ng mga bagong nilikhang seeds ngunit hindi makapagpapagawa ng mga seed na nilikha sa ilalim ng vulnerable software.
Ipaliwanag ni Novak na magpapalabas ang Coinkite ng isang buong teknikal na ulat pagkatapos suriin ang mga detalye at tutulungan ang mga naapektuhandong user na naghahanap ng mga ulat sa pulis, mga hiling sa insurance, o mga independiyenteng imbestigasyon. Binaril din niya ang mga developer na ang artificial intelligence (AI) ay maaari nang i-scan ang lumang pampublikong code para sa mga nakatagong kahinaan nang mas mabilis kaysa sa tradisyonal na proseso ng pagsusuri.
Ipinaglaban ng Coinkite na dapat ito'y magpalagay na gumamit ng AI ang isang attacker upang suriin ang kanyang open-source firmware, bagaman walang ebidensya ang natukoy kung paano natagpuan ang kakulangan. Kinilala rin ng kumpanya na hindi nakakita ang isang bagong pagsusuri na ginawa kasama ang isang pangunahing AI model sa problema. Ilan sa mga kalaban na manufacturer ng hardware wallet ay nagsalita sa social media na ang kanilang mga produkto ay hindi naapektuhan.
"Hindi naaapektuhan ng bagong ipinahayag na abiso para sa Coldcard Mk3 ang Ledger," sinabi ng kumpanya sa mga user ng X pagkatapos ng insidente sa Coldcard. "Gumagamit ang mga device ng Ledger ng certified True Random Number Generator (TRNG) na nakabuilt direktang sa aming Secure Element chip, na gumagawa ng buong 256 bits ng entropy para sa bawat 24-word Secret Recovery Phrase."
Mga gumagamit ng Trezor: ligtas ang inyong pera,” ipinaliwanag ng maker ng hardware wallet na Trezor noong Biyernes. “Ang bagong isyu sa Coldcard ay limitado lamang sa kanilang sariling custom firmware at kung paano nila ginawa ang randomness sa ilan sa kanilang mga device. Ang Trezor ay hindi nagbabahagi ng code na iyon.”
Idinagdag ang account ng Trezor X:
Laging pinagsama namin ang maraming independiyenteng pinagmulan ng randomness (kagamitang hardware + host + secure elements sa mga mas bagong modelo). Totoong nalulungkot kami para sa lahat ng nawalan ng bitcoin.
Ano ang dapat subaybayan ng mga gumagamit ng Coldcard
Ang pagkakakilanlan ng attacker ay nananatiling hindi kilala, at ang mga nakuha na bitcoin ay maaaring lumipat mula sa kanilang mga consolidation address kahit anong oras. Patuloy pa rin ang mga imbestigador sa pagtukoy kung gaano karaming vulnerable seeds ang tunay na nilikha, gaano karaming bitcoin ang nananatiling eksposed, at kung mayroon nang iba pang mataas na halagang wallet na nakikilala na ng attacker. Gayunpaman, maaaring wala nang maraming impormasyon ang Coinkite tungkol sa mga owner mula sa matagal nang panahon.
“Kapalit na may dalawang gilid: Pinapalayos ng Coinkite ang lahat ng kanilang customer records pagkatapos ng 120 araw upang protektahan ang laban sa data breaches,” ayon kay Jameson Lopp, co-founder ng Casa, sa X. “Kaya hindi sila makakapag-contact sa mga customer na bumili ng vulnerable na ColdCards sa nakalipas na 5 taon upang babalaan sila tungkol sa vulnerability na ito.”
Ang insidente ay magtataas din kung makakabawi ang Coinkite ng tiwala sa Coldcard at kung gagamitin ng mga tagagawa ng hardware wallet ang mas malakas na independiyenteng pagsusuri sa pagbuo ng seed. Para sa mga user, ang pinakamalapit na priyoridad ay mas simpleng: Sino man ang gumawa ng seed sa apektadong firmware nang walang malakas na independiyenteng dice entropy, passphrase, o multisignature protection, ay dapat ituring ito bilang na-compromise at ilipat nang maingat ang pera sa isang bagong nilikhang wallet.
Bukod sa nakakasirang pagkakawala, ang mga bitcoiner sa buong komunidad ay nagbabala at nagtutulak sa iba na ipaalam ang balita bago mas maraming vulnerable na wallet ay tuyo.