Lemparan Dadu Menyimpan Kunci Bitcoin Secara Offline, Tapi Tidak Semua Orang Akan Repot-repot

Sebuah dadu enam sisi standar menghasilkan sekitar 2,6 bit informasi tak terduga setiap kali dilempar. Itu mungkin terdengar sedikit, tetapi jika diulang cukup sering, lemparan tersebut dapat menciptakan keacakan mentah yang diperlukan untuk mengamankan dompet bitcoin tanpa bergantung pada perangkat lunak atau komponen elektronik.

Claude Shannon, matematikawan yang mendirikan teori informasi, menggunakan entropi untuk mengukur seberapa tidak pasti suatu hasil. Dengan dadu enam sisi yang adil, setiap sisi memiliki peluang satu dari enam yang sama untuk muncul. Itu memberikan setiap lemparan sekitar 2,585 bit entropi. Lemparan koin menghasilkan 1 bit, sementara dadu delapan sisi menghasilkan 3 bit.

Kegagalan Coldcard terbaru telah mendorong generasi seed berbasis dadu di berbagai media sosial. Beberapa pengguna kini memandangnya sebagai hal penting, yang lain mengatakan itu melindungi dana mereka, sementara operator berpengalaman menunjukkan bahwa sebagian besar pemula tidak akan mentoleransi proses pengaturan yang lambat dan rentan kesalahan.

Bagian pentingnya bukan bahwa dadu yang bergulir berperilaku acak pada tingkat atom. Itu tidak benar. Hasilnya diatur oleh fisika, tetapi terlalu banyak variabel kecil berubah sekaligus sehingga tidak ada yang bisa menghitung hasilnya dengan andal. Dadu meninggalkan tangan dengan kecepatan, sudut, ketinggian, dan putaran tertentu, lalu mengenai meja dan mengubah arah dengan setiap pantulan.

Dalam praktiknya, bahkan perubahan kecil dalam pelepasan dapat menghasilkan hasil yang sama sekali berbeda. Posisi jari yang sedikit berbeda atau lemparan yang sedikit lebih keras mengubah jalur cukup signifikan sehingga angka akhir tidak dapat diprediksi dengan mengamati gerakannya. Hasilnya mungkin deterministik secara teori, tetapi untuk generasi dompet, yang penting adalah penyerang tidak dapat mereproduksi atau menghitungnya.

Komputer tidak dapat menggunakan daftar hasil dadu secara langsung. Lemparan harus terlebih dahulu diubah menjadi data biner, dan metode konversinya penting.

Metode ganjil-genap dasar mudah dipahami, tetapi membuang sebagian besar entropi yang tersedia. Setiap lemparan direduksi menjadi satu bit, meskipun dadu menghasilkan sekitar 2,6 bit informasi. Metode yang lebih efisien mengumpulkan rangkaian lemparan yang panjang dan memproses seluruh string, biasanya melalui fungsi hash kriptografis. Ini melestarikan jauh lebih banyak keacakan.

Prinsip yang sama muncul dalam Diceware, metode lama untuk membuat frasa sandi yang aman, dan dalam pembuatan dompet bitcoin secara manual. Frasa pemulihan dompet 12 kata biasanya dibangun dari 128 bit entropi. Dengan sekitar 2,6 bit per lemparan, sekitar 50 lemparan yang adil memberikan cukup informasi mentah untuk melewati ambang batas tersebut.

Coinkite, pembuat dompet perangkat keras Coldcard, merekomendasikan 99 atau lebih gulungan bagi pengguna yang mencari entropi mendekati 256 bit. Itu tidak membuat dompet menjadi dua kali lebih sulit digunakan, tetapi memberikan margin keamanan matematis yang jauh lebih besar pada rahasia yang dihasilkan.

Perbedaan itu menjadi penting setelah Coinkite mengungkapkan masalah firmware yang berasal dari tahun 2021. Pada beberapa perangkat Coldcard, perangkat lunak dapat melewati generator angka acak perangkat keras internal dan sebaliknya menggunakan proses yang lebih lemah yang terhubung ke informasi perangkat yang bukan rahasia.

Karena sebagian dari proses tersebut dapat direkonstruksi, penyerang mampu mempersempit kemungkinan kunci dompet daripada mencari seluruh ruang kunci. Kelemahan ini dikaitkan dengan pencurian sekitar 1.128,6633 BTC dari sekitar 1100 alamat, pada pukul 1 siang waktu Timur.

Benih dompet yang dibuat sepenuhnya dari sejumlah lemparan dadu independen yang cukup tidak terpapar melalui jalur yang sama. Pengguna tersebut telah menyediakan entropi mereka sendiri, sehingga generator perangkat keras yang cacat tidak bertanggung jawab atas pembuatan rahasia dompet utama.

Perlindungan itu, bagaimanapun, hanya berlaku untuk benih yang dihasilkan dari dadu. Itu tidak secara otomatis melindungi setiap rahasia lain yang dihasilkan oleh perangkat.

Peneliti keamanan Kevin Loaec memublikasikan penilaian terhadap eksploit Coldcard di situs web Wizard Sardine pada 1 Agustus. Observasi paling pentingnya berkaitan dengan fitur Coldcard yang menghasilkan rahasia mereka sendiri secara terpisah dari benih dompet utama.

“Saya percaya sangat penting untuk menekankan bahwa bahkan pengguna yang mengimpor atau menghasilkan seed dengan dadu juga rentan, jika mereka menggunakan fitur-fitur berikut,” Loaec menulis di X, sebelum menyajikan diagram sistem yang terdampak.

Diagram tersebut menunjukkan generator angka acak yang cacat yang memasok beberapa fungsi sekunder Coldcard. Yang termasuk di dalamnya adalah pembuatan dompet kertas, kloning perangkat, enkripsi sesi USB, fitur transfer Secret Teleport, pembuatan kunci co-signing, generator kata sandi bawaan, dan kode otentikasi hardware security module.

Dompet utama yang dibuat dengan 99 lemparan dada tetap berada di bagian terpisah dari sistem. Masalahnya adalah alat-alat lain masih bisa meminta keacakan baru dari generator yang rusak. Akibatnya, benih aman tidak menjamin bahwa setiap kata sandi, cadangan, kode otentikasi, atau kunci sekunder yang dibuat pada perangkat yang sama memiliki tingkat keamanan yang sama.

Entropi yang dihasilkan dadu secara teknis valid ketika dilakukan dengan benar, tetapi tidak realistis sebagai pilihan default bagi sebagian besar pengguna baru. Melempar dadu sebanyak 50 atau 99 kali, memasukkan setiap hasil dengan akurat, dan memastikan tidak ada lemparan yang terlewat atau ganda memerlukan kesabaran dan konsentrasi yang tinggi. Satu angka yang salah ketik dapat mengubah dompet akhir sepenuhnya, dan sebagian besar perangkat tidak dapat menentukan apakah kesalahan tersebut berasal dari lemparan yang buruk, kesalahan input, atau salah paham terhadap instruksi.

Proses ini juga memperkenalkan risiko yang tidak ada pada generator perangkat keras yang berfungsi dengan baik. Pengguna mungkin menulis hasil lemparan di kertas, memotretnya, memasukkannya ke alat daring, atau meninggalkan daftar tersebut di tempat yang bisa ditemukan orang lain. Beberapa orang melempar dadu dengan cara berulang atau terkontrol, menggunakan dadu yang sudah dimanipulasi atau rusak, atau berhenti lebih awal karena prosesnya terasa berlebihan. Matematikanya mungkin kuat, tetapi hasilnya hanya seaman prosedur pengguna.

Itu sebabnya melempar dadu tidak selalu dianggap sebagai metode terbaik oleh banyak orang, bahkan di kalangan pengguna bitcoin berpengalaman. Metode ini menggantikan kepercayaan pada perangkat dengan kepercayaan pada proses manual. Bagi pengguna yang teliti secara teknis, memahami entropi, memverifikasi metode, dan menjaga kerahasiaan urutan lemparan, pertukaran itu mungkin masuk akal. Bagi pembeli rata-rata yang baru pertama kali mengatur dompet, metode ini menambah beberapa peluang untuk membuat kesalahan permanen, sekaligus menjadi proses yang menjengkelkan pada saat yang sama.

Sulit juga membayangkan adopsi luas bitcoin yang bergantung pada orang-orang yang duduk di meja dan mencatat 99 hasil dadu sebelum mereka dapat menerima dana secara aman. Praktik keamanan harus mampu bertahan di rumah-rumah nyata, jadwal yang sibuk, gangguan, dan pengguna yang tidak ingin mempelajari kriptografi. Entropi manual harus tetap tersedia sebagai opsi lanjutan, tetapi tujuan jangka panjangnya adalah perangkat keras dan perangkat lunak yang menghasilkan randomisasi kuat dengan benar, menjelaskan apa yang terjadi secara jelas, dan memerlukan seminimal mungkin pengetahuan khusus.

Pemilik perangkat Coldcard yang terdampak harus terlebih dahulu memverifikasi versi firmware yang terinstal pada perangkat. Mereka kemudian harus meninjau fitur-fitur apa yang mereka gunakan saat menjalankan firmware lama, bukan hanya fokus pada bagaimana seed dompet utama dihasilkan.

Siapa pun yang menggunakan perangkat yang terdampak untuk menghasilkan paper wallet, kloning rahasia, kata sandi, kunci co-signing, atau kode otentikasi mungkin perlu segera mengganti materi tersebut. Menginstal pembaruan mencegah masalah yang sama memengaruhi rahasia baru, tetapi tidak memperbaiki apa pun yang telah dibuat sebelumnya.

Insiden ini juga memberikan kasus praktis yang lebih kuat untuk pengaturan dompet multi-penjual. Dalam pengaturan multi-tanda tangan, perangkat keras terpisah dari produsen berbeda dapat diminta untuk menyetujui transaksi. Struktur ini tidak membuat bug firmware menjadi mustahil, tetapi dapat mencegah generator angka acak yang cacat secara tunggal mengungkap seluruh dompet sendirian.