Kekurangan Keselamatan Coldcard Mungkin Telah Mendedahkan 1.128 BTC Bernilai $71.1J

Kekurangan perisian Coldcard selama lima tahun mungkin membolehkan penyerang merekabentuk kunci peribadi dan mengambil lebih daripada 1,100 bitcoin, mendorong pembuat dompet itu menyalahkan penemuan ini sebahagiannya kepada kecerdasan buatan (AI).

Insiden ini menjadi awam selepas sebanyak 594 BTC, bernilai hampir $38 juta pada masa itu, dipindahkan daripada sekitar 500 alamat bitcoin tanda-tangan tunggal pada 30 Julai. When the news first broke, Bitcoin.com News noted bahawa pindahan berlaku dalam tempoh kira-kira 25 minit dan kelihatan menargetkan dompet dengan kelemahan teknikal yang sama.

Semasa ulasan blok rantai seterusnya, skala pencurian diperluaskan. Para penyelidik menganggarkan bahawa antara 1,082 hingga 1,196 alamat mungkin telah terjejas dalam tempoh sekitar 41 minit. Sebuah dashboard khusus bernama Coldcard Sweep Watch kemudian menetapkan jumlah keseluruhan pada 1,128.4717 BTC, bernilai sekitar $71.1 juta apabila bitcoin diperdagangkan pada hampir $63,044.

Sebahagian besar dana telah dikonsolidasikan ke dalam alamat yang menyimpan ratusan bitcoin, di mana sebahagian besar tetap tidak bergerak. Alamat-alamat yang terkesan dikaitkan oleh satu butir penting: Benih pemulihan mereka telah dicipta di dompet peranti keras Coldcard yang dikeluarkan oleh syarikat Kanada Coinkite.

Seed pemulihan ialah senarai perkataan yang mengawal akses kepada dompet mata wang kripto. Sesiapapun yang dapat menyusun semula atau memperoleh seed tersebut biasanya boleh memindahkan dana dompet tanpa memiliki peranti fizikal.

Coinkite menyebarkan nasihat segera yang memperingatkan bahawa benih tertentu yang dihasilkan pada peranti Coldcard mungkin lemah. Peranti Mk3 yang menjalankan versi firmware 4.0.1, yang dirilis sekitar Mac 2021, dan versi seterusnya adalah antara yang menghadapi risiko paling tinggi.

Analisis lanjutan memperluas kebimbangan kepada benih yang dicipta pada beberapa peranti Mk4, Mk5, dan Q sebelum Coinkite melepaskan pembaikan firmware kecemasan. Produk Tapsigner, Opendime, dan Satscard dilaporkan tidak terjejas kerana menggunakan perisian yang berbeza.

Cacat tersebut melibatkan proses yang digunakan untuk menghasilkan data rawak. Dompet selamat bergantung pada kualiti rawak yang tinggi supaya benih pemulihan mereka tidak boleh diteka. Pada peranti Mk3 yang paling terkesan, penyelidik menganggarkan bahawa benih mungkin hanya mengandungi sekitar 40 bit rawak berkesan berbanding 128 bit yang diinginkan.

Perbezaan itu adalah kritikal. Sebuah benih 128-bit yang dihasilkan dengan betul dianggap hampir mustahil untuk diteka melalui serangan paksa. Sebuah benih 40-bit menawarkan kemungkinan yang jauh lebih sedikit, membolehkan penyerang dengan cukup kuasa pengkomputeran untuk menguji benih potensial secara luar talian dan membandingkan alamat yang dihasilkan dengan blok rantai bitcoin awam.

Beberapa peranti lebih baharu mungkin telah menyediakan sekitar 72 bit kerawakkan berkesan kerana peranti selamat menambah lapisan data yang tidak dapat diramalkan. Itu akan membuat benih lebih sukar untuk dipulihkan, walaupun masih jauh lebih lemah daripada yang dimaksudkan.

Masalah bermula dengan kesilapan konfigurasi masa pembinaan yang melibatkan dua fungsi perisian yang menjalankan tugas yang serupa. Satu fungsi menggunakan penghasil nombor rawak benar berdasarkan peranti, manakala yang lain bergantung kepada proses perisian yang lebih lemah yang diwarisi daripada MicroPython.

Coinkite bermaksud untuk menonaktifkan pilihan MicroPython. Namun, semakan perisian hanya memeriksa sama ada label konfigurasi telah ditakrifkan, bukan sama ada nilainya telah ditetapkan kepada sifar. Akibatnya, firmware siap boleh memilih fungsi yang lebih lemah tanpa sebarang pemberitahuan.

Kerana kedua-dua fungsi mempunyai format yang sepadan, perisian terus dikompil dan dijalankan tanpa menghasilkan ralat yang jelas. Kesilapan itu masuk ke dalam kod semasa migrasi perisian sekitar 2021 dan kekal dalam firmware yang tersedia secara awam selama lebih lima tahun.

Memperbaharui peranti sekarang tidak memperkuat benih yang dihasilkan di bawah perisian yang bermasalah. Pengguna yang terkesan mesti mencipta benih baru sepenuhnya menggunakan firmware yang telah diperbaiki atau peranti selamat lain, kemudian memindahkan dana mereka ke alamat yang dikendalikan oleh benih baru tersebut.

Pengguna yang menambahkan sekurang-kurangnya 50 lontaran dadu bebas semasa mencipta benih mereka mungkin telah menyediakan cukup kerawakan tambahan untuk mengelakkan kelemahan tersebut. Kata laluan BIP-39 yang kuat juga boleh menjadikan pemulihan lebih sukar, sementara dompet yang memerlukan tanda tangan daripada beberapa peranti bebas mungkin telah mencegah satu benih yang telah disusupi berpindah dana secara berasingan.

CEO Coinkite, Rodolfo Novak, meminta maaf secara awam dan menyatakan syarikat mengambil tanggungjawab penuh atas kegagalan firmware. Beliau berkata pasukan sedang bekerja pada perisian yang diperbaiki, laporan teknikal, dan sokongan untuk pengguna yang terkesan.

Coinkite dan Novak juga mengemukakan teori yang menarik mengenai bagaimana kelemahan tersebut ditemukan. Kerana firmware-nya telah tersedia secara awam selama bertahun-tahun, syarikat tersebut percaya seseorang mungkin telah menggunakan AI untuk mengkaji versi-versi lama kod dan mengesan laluan kelemahan rawak.

“Kepada semua pembangun lain: kami percaya ini adalah realiti yang jelas tentang paradigma AI baharu. Semakan kod yang dibantu AI kini boleh mengesan kecacatan tersembunyi pada kelajuan yang melampaui ahli paling berpengalaman dalam industri ini,” Novak menulis dalam posting permintaan maafnya yang diterbitkan di X. “Jika firmware anda bersifat sumber terbuka atau pernah dipublikasikan, anggap ia sudah dibaca oleh penyerang dan pembela alike.”

Sistem pengaturcaraan AI moden hari ini boleh memproses repositori perisian yang besar dan mengenal pasti hubungan mencurigakan antara tetapan konfigurasi, fungsi, dan andaian keselamatan. Seorang penyerang boleh meminta sistem sedemikian untuk secara khusus mencari penghasil nombor rawak lemah, fungsi cadangan, atau ralat yang mempengaruhi kunci kriptografi.

Penyelidik bebas kemudian melaporkan menggunakan model AI untuk mencari atau menjelaskan isu tersebut selepas masalah rawak asas diketahui. Itu menunjukkan betapa mudahnya analisis kod yang dibantu AI, tetapi ia tidak membuktikan bahawa penyerang asal menggunakan AI.

Coinkite mengakui bahawa ulasannya sendiri menggunakan model AI terkemuka gagal mengesan kelemahan itu sebelum pencurian berlaku. Keputusan itu menunjukkan bahawa sistem AI tidak secara automatik mengesan semua kecacatan serius. Prestasi mereka boleh bergantung pada arahan yang mereka terima, jumlah kod yang diberikan, dan sama ada pemeriksa manusia memahami tanda-tanda amaran.

Beberapa pakar keselamatan berpendapat bahawa terlalu menekankan risiko kecerdasan buatan (AI) boleh mengalih perhatian daripada kegagalan kejuruteraan asas. Ramai percaya bahawa kesilapan konfigurasi adalah sejenis ralat perisian yang sudah diketahui, dan tinjauan kod biasa, prosedur pengujian, atau audit yang berfokus pada penghasilan benih boleh telah mengesannya bertahun-tahun yang lalu.

Pandangan yang bertentangan tidak semestinya tidak sepadan. Kesilapan manusia mencipta kerentanan dan membiarkannya berterusan, sementara AI mungkin telah mengurangkan kos untuk mencari, memahami, atau memanfaatkannya. Pihak pertahanan mesti mengenal pasti setiap kelemahan berbahaya, manakala penyerang hanya perlu mencari satu sahaja.

Insiden ini juga mencabar anggapan mengenai keselamatan sumber terbuka. Kod awam membenarkan pakar bebas mengkaji perisian, tetapi ketersediaan sahaja tidak menjamin seseorang akan mengkaji bahagian yang betul, mengenali kecacatan halus, dan melaporkannya sebelum penyerang bertindak.

Untuk pengguna Coldcard, keutamaan segera ialah menentukan bila dan bagaimana benih mereka dicipta. Sesiapapun yang mempunyai benih yang terkesan mesti mengesahkan arahan melalui saluran rasmi Coinkite, memasang firmware yang telah diperbaiki, mencipta benih baharu, dan memindahkan dana dengan berhati-hati sambil memperhatikan cubaan penipuan dan mesej sokongan palsu.

Soalan jangka panjang akan berpusat pada berapa banyak bitcoin yang diambil, sama ada penyiasat boleh mengenal pasti penyerang, dan sama ada AI memainkan sebarang peranan menentukan dalam mengesan kelemahan itu. Syarikat dompet keras juga akan menghadapi tekanan untuk memperkukuh ujian entropi, mengaudit konfigurasi pembinaan, dan mengkaji semula kod lama secara berterusan dengan pakar manusia dan alat AI adversarial.