Dompet Coldcard Terdampak Kerentanan Benih, Jutaan Bitcoin Dicuri

Seorang penyerang memanfaatkan benih lemah yang dihasilkan oleh beberapa dompet perangkat keras Coldcard untuk mencuri bitcoin senilai puluhan juta dari ratusan alamat pada 30 Juli.

Menurut analisis mendalam dari Galaxy Research, pencurian inti terjadi dalam serangan terkoordinasi ketat yang berlangsung sekitar 25 menit, sementara analisis lebih luas kemudian menghubungkan sekitar 1.196 alamat dan hingga 1.083 bitcoin, senilai hampir $70 juta, dengan aktivitas yang mencakup sekitar 41 menit. Angka akhir bisa mengalami perubahan karena penyelidik terus melacak transaksi di blockchain Bitcoin publik.

Dompet yang terdampak sebagian besar milik pemegang jangka panjang yang menghasilkan benih pemulihan mereka menggunakan Coldcard devices yang menjalankan firmware rentan yang dirilis sejak Maret 2021. Coldcard adalah dompet perangkat keras air-gapped buatan produsen Kanada Coinkite yang dirancang untuk menjaga kunci bitcoin (BTC) terisolasi dari perangkat yang terhubung ke internet.

Banyak dari alamat yang dikosongkan tetap tidak aktif selama bertahun-tahun. Penyerang bergerak cepat, membayar biaya transaksi tetap yang ditingkatkan, dan tidak meninggalkan output perubahan, yang berarti setiap alamat dikosongkan sepenuhnya. Pola tersebut menunjukkan operasi otomatis menggunakan daftar kunci pribadi yang telah disiapkan, bukan pelanggan yang memindahkan dana mereka secara mandiri.

Pencurian tersebut tidak disebabkan oleh phishing, malware di komputer pengguna, pencurian perangkat fisik, atau pelanggaran jarak jauh konvensional. Sebaliknya, kesalahan firmware melemahkan keacakan yang digunakan ketika beberapa perangkat Coldcard membuat benih dompet. Benih-benih tersebut tampak normal tetapi berasal dari rentang kombinasi yang jauh lebih kecil daripada yang dijanjikan kepada pengguna.

Seed dompet bitcoin adalah rahasia, biasanya ditampilkan sebagai 12 atau 24 kata, yang digunakan dompet untuk menghasilkan alamat dan kunci pribadinya. Seed 12 kata yang dihasilkan dengan benar mengandung 128 bit entropi, ukuran teknis yang menggambarkan sejumlah besar kemungkinan kombinasi yang membuat tebakan terhadap seed menjadi hampir tidak mungkin.

Perangkat Coldcard seharusnya mendapatkan keacakan tersebut dari generator angka acak perangkat keras di dalam mikrokontroler perangkat. Komponen tersebut mengambil dari kebisingan listrik fisik yang seharusnya tidak dapat diprediksi oleh pengamat luar.

Selama migrasi perpustakaan perangkat lunak pada tahun 2021, namun, Coinkite mengungkapkan bahwa dua fungsi angka acak dengan antarmuka yang sama menjadi bingung. Satu mengakses generator perangkat keras yang tepat. Yang lainnya adalah cadangan perangkat lunak lemah yang ditujukan untuk papan tanpa perangkat keras yang sesuai.

Pengaturan konfigurasi menonaktifkan jalur perangkat keras MicroPython bawaan karena Coinkite menyediakan wrapper perangkat keras sendiri. Perangkat lunak hanya memeriksa apakah pengaturan tersebut ada, bukan apakah itu diaktifkan. Karena pengaturan tersebut ada tetapi diberi nilai nol, proses build berhasil diselesaikan, sementara generasi seed berpindah secara diam-diam ke generator perangkat lunak yang lebih lemah.

Fallback tersebut sangat bergantung pada informasi perangkat yang dapat diprediksi, termasuk identifikasi chip yang mirip dengan nomor seri dan nilai jam internal yang terkait dengan waktu startup. Seorang penyerang yang dapat mempersempit input-input tersebut akan menghadapi pencarian yang jauh lebih kecil daripada rentang 128-bit yang diharapkan dari benih yang dihasilkan secara aman.

Coinkite memperkirakan ruang pencarian efektif untuk benih Mk3 yang rentan sekitar 40 bit berdasarkan asumsi saat ini. Itu masih merupakan jumlah kemungkinan yang besar, tetapi dapat dicari dengan peralatan komputasi khusus, terutama ketika penyerang dapat membandingkan benih kandidat dengan alamat bitcoin yang terlihat di blockchain.

Model Coldcard terbaru, termasuk Mk4, Q, dan Mk5, menambahkan beberapa randomisasi dari secure element. Namun, hanya sebagian terbatas yang mencapai generator yang terdampak, meninggalkan perkiraan 72 bit entropi efektif pada seed yang dibuat sebelum firmware yang diperbaiki diinstal. Itu lebih kuat daripada jalur Mk3 tetapi masih di bawah standar 128-bit yang diinginkan.

Perbedaannya mirip dengan mengganti kombinasi kunci yang benar-benar acak dengan yang dihasilkan dari nomor seri kunci dan waktu pertama kali dinyalakan. Kombinasi yang dihasilkan mungkin tampak acak, tetapi seseorang yang mengetahui rumusnya dan dapat memperkirakan informasi awal dapat mereproduksinya. Banyak pengguna bermigrasi, tidak hanya dari perangkat Mk3, tetapi juga dari Mk4, Q, dan Mk5.

Coinkite merilis peringatan keamanan dan mengoreksi firmware setelah menyadari ancaman aktif. Perusahaan tersebut mengatakan pengguna yang membuat seed pada firmware yang terdampak harus membuat seed baru sepenuhnya menggunakan versi yang telah diperbaiki dan mentransfer bitcoin mereka ke alamat yang dikendalikan oleh seed tersebut.

Menginstal pembaruan saja tidak cukup. Seed yang dibuat di bawah sistem yang cacat tetap lemah secara permanen karena pembaruan firmware tidak dapat menambahkan keacakan pada kata-kata yang sudah ada.

Coinkite menyarankan pengguna untuk memperbarui perangkat mereka, membuat seed baru, memverifikasi cadangan dan sidik jari dompet, mengonfirmasi alamat penerima, mengirimkan transaksi uji coba kecil, lalu memindahkan sisa saldo. Pengguna harus menyimpan cadangan lama hingga transfer dikonfirmasi, tetapi sebaiknya tidak lagi memperlakukan seed lama sebagai aman.

Perusahaan mengidentifikasi rilis tetap termasuk versi Mk3 4.2.0 atau lebih baru, versi Mk4 dan Mk5 5.6.0 atau lebih baru, serta versi Q 1.5.0Q atau lebih baru, bersama dengan versi Edge yang sesuai. Produk Tapsigner, Opendime, dan Satscard menggunakan kode yang berbeda dan dilaporkan tidak terdampak.

Pengguna yang menambahkan cukup lemparan dadu independen saat menghasilkan seed secara signifikan terlindungi karena kerandoman mereka sendiri mengalahkan masukan perangkat lunak yang cacat. Coinkite menyatakan bahwa setidaknya 50 lemparan dadu fair menyediakan perlindungan yang memadai dari masalah ini, meskipun lemparan tambahan dapat memberikan margin keamanan yang lebih luas.

Passphrase BIP-39 yang kuat juga menciptakan dompet terpisah yang tidak dapat dipulihkan hanya dari kata-kata benih. Dompet multi-tanda tangan, yang memerlukan kunci dari beberapa perangkat atau lokasi sebelum bitcoin dapat dipindahkan, sebagian besar atau sepenuhnya terlindungi ketika benih Coldcard yang rentan hanya mewakili satu bagian dari susunan tanda tangan.

Namun, langkah-langkah keamanan tersebut bersifat opsional. Banyak korban tampaknya mengikuti saran keamanan standar yang tersedia pada saat itu: Beli dompet perangkat keras yang terpercaya, buat seed secara offline, lindungi cadangannya, dan jangan pernah memasukkannya ke perangkat yang terhubung ke internet.

CEO Coinkite Rodolfo Novak, yang dikenal luas sebagai NVK, meminta maaf secara publik pada 31 Juli dan menyatakan perusahaan menerima tanggung jawab penuh atas kegagalan firmware. “Saya minta maaf dan saya hancur. Tim kami hancur berantakan karena berita kemarin,” tulis Novak. Ia mengakui bahwa hotfix tersebut mengamankan benih yang baru dibuat tetapi tidak dapat memperbaiki benih yang dihasilkan di bawah perangkat lunak yang rentan.

Novak menjelaskan bahwa Coinkite akan menerbitkan laporan teknis lengkap setelah memverifikasi detailnya dan membantu pengguna yang terdampak yang membutuhkan laporan polisi, klaim asuransi, atau investigasi independen. Ia juga memperingatkan para pengembang bahwa kecerdasan buatan (AI) kini dapat memindai kode publik lama untuk menemukan kelemahan tersembunyi lebih cepat daripada proses tinjauan tradisional.

Coinkite menekankan bahwa perusahaan harus berasumsi penyerang menggunakan AI untuk memeriksa firmware sumber terbuka, meskipun tidak ada bukti yang menunjukkan bagaimana celah tersebut ditemukan. Perusahaan juga mengakui bahwa tinjauan terbaru yang dilakukan dengan model AI terkemuka gagal mengidentifikasi masalah tersebut. Beberapa produsen dompet perangkat keras pesaing telah menggunakan media sosial untuk mencatat bahwa produk mereka tidak terdampak.

“Ledger tidak terpengaruh oleh peringatan Coldcard Mk3 yang baru saja diterbitkan,” perusahaan mengatakan kepada pengguna X setelah insiden Coldcard. “Perangkat Ledger menggunakan True Random Number Generator (TRNG) bersertifikat yang dibangun langsung ke dalam chip Secure Element kami, menghasilkan entropi penuh 256 bit untuk setiap Secret Recovery Phrase 24 kata.”

Pengguna Trezor: dana Anda aman,” produsen hardware wallet Trezor menjelaskan pada hari Jumat. “Masalah Coldcard terbaru terbatas pada firmware khusus mereka dan cara beberapa perangkat mereka menghasilkan randomisasi. Trezor tidak menggunakan kode tersebut.”

Akun Trezor X ditambahkan:

Kami selalu menggabungkan beberapa sumber keacakan independen bersama-sama (perangkat keras perangkat + host + elemen aman pada model yang lebih baru). Kami benar-benar menyesal atas semua orang yang kehilangan bitcoin.

Identitas pelaku tetap tidak diketahui, dan bitcoin yang dicuri dapat bergerak dari alamat konsolidasinya kapan saja. Para penyelidik masih bekerja untuk menentukan berapa banyak benih yang rentan sebenarnya dihasilkan, berapa banyak bitcoin yang masih terpapar, dan apakah dompet bernilai tinggi tambahan telah diidentifikasi oleh pelaku. Namun, Coinkite mungkin tidak memiliki banyak informasi tentang pemilik dari waktu yang lama.

“Pedang bermata dua yang menyenangkan: Coinkite menghapus semua catatan pelanggan mereka setelah 120 hari untuk melindungi dari pelanggaran data,” menurut Jameson Lopp, salah satu pendiri Casa, di X. “Artinya mereka tidak dapat menghubungi pelanggan yang membeli Coldcard yang rentan dalam lima tahun terakhir untuk memperingatkan mereka tentang kerentanan ini.”

Insiden ini juga akan menguji apakah Coinkite dapat memulihkan kepercayaan terhadap Coldcard dan apakah produsen hardware wallet akan mengadopsi tinjauan independen yang lebih kuat terhadap generasi seed. Bagi pengguna, prioritas segera lebih sederhana: Siapa pun yang membuat seed pada firmware yang terdampak tanpa entropi dadu independen yang kuat, passphrase, atau perlindungan multisignature harus memperlakukannya sebagai telah dikompromikan dan memindahkan dana dengan hati-hati ke dompet yang baru dibuat.

Di luar pencurian yang merusak, para bitcoiner di seluruh komunitas mengeluarkan peringatan dan mendorong orang lain untuk menyebarkan informasi sebelum dompet-dompet yang rentan dikosongkan.