Dompet Coldcard terjejas oleh kerentanan benih, jutaan bitcoin dicuri

Seorang penyerang memanfaatkan benih lemah yang dihasilkan oleh beberapa dompet perangkat keras Coldcard untuk mencuri bitcoin bernilai sekitar puluhan juta dari ratusan alamat pada 30 Julai.

Menurut analisis mendalam daripada Galaxy Research, pencurian utama berlaku dalam satu lonjakan yang terkoordinasi rapat selama kira-kira 25 minit, manakala analisis yang lebih luas kemudian menghubungkan kira-kira 1,196 alamat dan sebanyak 1,083 bitcoin, bernilai hampir $70 juta, kepada aktiviti yang merangkumi kira-kira 41 minit. Angka akhir mungkin berubah kerana penyiasat terus menjejak transaksi di blok rantai Bitcoin awam.

Dompet yang terkesan sebahagian besarnya milik pemegang jangka panjang yang menghasilkan benih pemulihan mereka menggunakan Coldcard device yang menjalankan firmware rentan yang dikeluarkan mulai Mac 2021 ke atas. Coldcard ialah dompet peranti keras tanpa sambungan internet yang diperbuat oleh pengeluar Kanada Coinkite dan direka untuk mengekalkan kunci bitcoin (BTC) terpisah daripada peranti yang bersambung ke internet.

Banyak daripada alamat yang dikosongkan itu telah lama tidak aktif selama bertahun-tahun. Penyerang bergerak dengan pantas, membayar yuran transaksi tetap yang lebih tinggi, dan tidak meninggalkan output perubahan, bermakna setiap alamat dikosongkan sepenuhnya. Pola ini menunjukkan operasi automatik yang menggunakan senarai kunci peribadi yang telah disediakan, bukan pelanggan yang berpindah dana mereka secara bebas.

Pencurian tersebut tidak disebabkan oleh phishing, malware di komputer pengguna, pencurian perangkat fizikal, atau pelanggaran jarak jauh konvensional. Sebaliknya, ralat firmware melemahkan kerawakan yang digunakan apabila beberapa peranti Coldcard mencipta benih dompet. Benih-benih tersebut kelihatan normal tetapi berasal dari julat gabungan yang jauh lebih kecil daripada yang dijanjikan kepada pengguna.

Benih dompet bitcoin adalah rahsia, biasanya dipaparkan sebagai 12 atau 24 perkataan, yang daripadanya dompet menghasilkan alamat dan kunci peribadinya. Benih 12 perkataan yang dihasilkan dengan betul mengandungi 128 bit entropi, ukuran teknikal yang menggambarkan bilangan gabungan yang sangat besar, menjadikan tekaan benih itu secara berkesan mustahil.

Peranti Coldcard sepatutnya mendapatkan kerawakan itu daripada penghasil nombor rawak peranti di dalam mikrocontroller peranti. Komponen tersebut menarik daripada gangguan elektrik fizikal yang seharusnya tidak dapat diramalkan oleh pemerhati luar.

Semasa pemindahan pustaka perisian pada 2021, bagaimanapun, Coinkite mengungkapkan bahawa dua fungsi nombor rawak dengan antaramuka yang serupa menjadi keliru. Satu mengakses penghasil peranti peranti keras yang betul. Yang lain ialah cadangan perisian lemah yang dimaksudkan untuk papan tanpa peranti keras yang sesuai.

Tetapan konfigurasi menonaktifkan laluan peranti MicroPython laluan kerana Coinkite menyediakan pembungkus peranti sendiri. Perisian hanya memeriksa sama ada tetapan itu wujud, bukan sama ada ia diaktifkan. Oleh kerana tetapan itu wujud tetapi ditetapkan kepada nilai sifar, pembinaan berjaya diselesaikan, sementara penghasilan seed berpindah secara senyap ke penghasil perisian yang lebih lemah.

Fallback itu sangat bergantung pada maklumat peranti yang boleh diramalkan, termasuk pengenal cip yang serupa dengan nombor siri dan nilai jam dalaman yang berkaitan dengan masa permulaan. Serangan yang mampu mempersempit input-input tersebut akan menghadapi pencarian yang jauh lebih kecil daripada julat 128-bit yang dijangka daripada benih yang dihasilkan dengan selamat.

Coinkite menganggarkan ruang carian berkesan untuk benih Mk3 yang rentan pada sekitar 40 bit berdasarkan anggapan semasa. Itu masih merupakan bilangan kemungkinan yang besar, tetapi ia boleh dicari dengan peralatan komputasi khas, terutamanya apabila penyerang boleh membandingkan benih kandidat dengan alamat bitcoin yang kelihatan di blok rantai.

Model Coldcard yang lebih baru, termasuk Mk4, Q dan Mk5, menambahkan beberapa kerawangan daripada elemen selamat. Namun, hanya sebahagian kecil yang mencapai penghasil yang terjejas, meninggalkan anggaran 72 bit entropi berkesan pada benih yang dicipta sebelum firmware yang telah diperbaiki dipasang. Ia lebih kuat daripada laluan Mk3 tetapi masih di bawah piawaian 128-bit yang diinginkan.

Perbezaannya serupa dengan menggantikan kombinasi kunci benar-benar rawak dengan satu yang diperoleh daripada nombor siri kunci dan masa ia pertama kali dihidupkan. Kombinasi yang dihasilkan mungkin kelihatan rawak, tetapi seseorang yang mengetahui formula dan boleh menganggar maklumat permulaan boleh menghasilkannya semula. Banyak pengguna sedang berpindah, bukan sahaja daripada peranti Mk3, tetapi juga daripada Mk4, Q, dan Mk5.

Coinkite telah mengeluarkan amaran keselamatan dan memperbaiki firmware selepas menyedari ancaman aktif. Syarikat tersebut mengatakan pengguna yang menghasilkan benih pada firmware yang terjejas harus mencipta benih yang sama sekali baharu menggunakan versi yang telah diperbaiki dan memindahkan bitcoin mereka ke alamat yang dikendalikan oleh benih tersebut.

Memasang kemas kini sahaja tidak cukup. Seed yang dicipta di bawah sistem yang cacat kekal lemah selamanya kerana kemas kini firmware tidak boleh menambahkan kerawakan kepada perkataan yang sudah wujud.

Coinkite menasihatkan pengguna untuk mengemas kini peranti mereka, mencipta benih baharu, mengesahkan sandaran dan cap dompet, mengesahkan alamat penerima, menghantar transaksi ujian kecil, dan kemudian memindahkan baki yang tinggal. Pengguna harus mengekalkan sandaran lama sehingga pindahan disahkan, tetapi tidak lagi memperlakukan benih lama sebagai selamat.

Syarikat tersebut mengenal pasti rilis tetap termasuk versi Mk3 4.2.0 atau lebih baru, versi Mk4 dan Mk5 5.6.0 atau lebih baru, serta versi Q 1.5.0Q atau lebih baru, bersama dengan versi Edge yang sepadan. Produk Tapsigner, Opendime, dan Satscard menggunakan kod yang berbeza dan dilaporkan tidak terjejas.

Pengguna yang menambahkan cukup lontaran dadu bebas semasa menghasilkan benih dilindungi secara berkesan kerana kerawakan mereka sendiri mengatasi input perisian yang cacat. Coinkite menyatakan bahawa sekurang-kurangnya 50 lontaran dadu adil yang peribadi memberikan perlindungan yang mencukupi terhadap isu ini, walaupun lontaran tambahan boleh memberikan margin keselamatan yang lebih luas.

Kata laluan BIP-39 yang kuat juga mencipta dompet yang berasingan yang tidak boleh dibina semula hanya daripada kata benih. Dompet multi-tandatangan, yang memerlukan kunci daripada beberapa peranti atau lokasi sebelum bitcoin boleh dipindahkan, sebahagian besar atau sepenuhnya dilindungi apabila benih Coldcard yang rentan hanya mewakili satu bahagian daripada susunan tandatangan.

Namun, langkah-langkah keselamatan tersebut adalah pilihan. Ramai mangsa kelihatan mengikuti nasihat keselamatan piawai yang tersedia pada masa itu: Beli dompet keras yang dihormati, hasilkan benih secara luar talian, lindungi salinan simpanan, dan jangan pernah memasukkannya ke dalam peranti yang disambungkan ke internet.

CEO Coinkite Rodolfo Novak, yang dikenal luas sebagai NVK, meminta maaf secara publik pada 31 Julai dan menyatakan syarikat itu menerima tanggungjawab penuh atas kegagalan firmware. “Saya minta maaf dan saya hancur. Pasukan kami sedih dengan berita semalam,” tulis Novak. Beliau mengakui bahawa hotfix tersebut mengamankan benih yang baru dicipta tetapi tidak boleh membaiki benih yang dihasilkan di bawah perisian yang rentan.

Novak menjelaskan bahawa Coinkite akan menerbitkan akaun teknikal penuh selepas mengesahkan butiran-butiran tersebut dan membantu pengguna yang terkesan yang mencari laporan polis, tuntutan insurans, atau penyiasatan bebas. Beliau juga memperingatkan pembangun bahawa kecerdasan buatan (AI) boleh kini memindai kod awam lama untuk mencari kelemahan tersembunyi lebih pantas daripada proses semakan tradisional boleh mengesan.

Coinkite menekankan bahawa ia harus mengandaikan penyerang menggunakan AI untuk mengkaji firmware sumber terbuka, walaupun tiada bukti yang menetapkan bagaimana kelemahan itu ditemui. Syarikat itu juga mengakui bahawa ulasan terkini yang dijalankan dengan model AI terkemuka gagal mengenal pasti masalah tersebut. Beberapa pengilang dompet peranti keras pesaing telah menggunakan media sosial untuk menyatakan bahawa produk mereka tidak terjejas.

“Ledger tidak terkesan oleh amaran terkini mengenai Coldcard Mk3,” syarikat itu memberitahu pengguna X selepas insiden Coldcard. “Peranti Ledger menggunakan Pencipta Nombor Rawak Sejati (TRNG) bersijil yang dibina secara langsung ke dalam cip Secure Element kami, menghasilkan entropi penuh 256 bit untuk setiap Frasa Pemulihan Rahsia 24 perkataan.”

Pengguna Trezor: dana anda selamat,” pembuat dompet peranti keras Trezor menjelaskan pada Jumaat. “Isu Coldcard terkini terhadap firmware khusus mereka dan bagaimana beberapa peranti mereka menghasilkan kerawakan. Trezor tidak berkongsi kod itu.”

Akaun Trezor X ditambah:

“Kami selalu mencampurkan beberapa sumber rawak yang berasingan bersama-sama (peranti peranti keras + hos + elemen selamat pada model yang lebih baharu). Kami benar-benar menyesal kepada semua pihak yang telah kehilangan bitcoin.”

Identiti penyerang masih tidak diketahui, dan bitcoin yang dicuri boleh bergerak dari alamat konsolidasinya pada bila-bila masa. Penyiasat masih bekerja untuk menentukan berapa banyak benih yang rentan sebenarnya dihasilkan, berapa banyak bitcoin yang masih terdedah, dan sama ada dompet bernilai tinggi tambahan telah dikenal pasti oleh penyerang. Walau bagaimanapun, Coinkite mungkin tidak mempunyai banyak maklumat mengenai pemilik dari masa yang lama.

“Pedang bermata dua yang menyeronokkan: Coinkite memadam semua rekod pelanggan mereka selepas 120 hari untuk melindungi daripada kebocoran data,” ketua bersama Casa, Jameson Lopp, melaporkan di X. “Yang bermaksud mereka tidak mampu menghubungi pelanggan yang membeli Coldcard yang rentan dalam lima tahun terakhir untuk memperingatkan mereka mengenai kelemahan ini.”

Insiden ini juga akan menguji sama ada Coinkite dapat memulihkan keyakinan terhadap Coldcard dan sama ada pembuat dompet keras akan mengambil semakan bebas yang lebih kuat terhadap penghasilan seed. Untuk pengguna, keutamaan segera adalah lebih mudah: Sesiapapun yang menjana seed pada firmware yang terjejas tanpa entropi dadu bebas yang kuat, kata laluan, atau perlindungan multisignature harus memperlakukannya sebagai telah disusupi dan memindahkan dana dengan berhati-hati ke dompet yang dihasilkan baru.

Di luar pencurian yang merosakkan, para bitcoiner di seluruh komunitas sedang mengeluarkan amaran dan mendesak orang lain untuk menyebarkan berita sebelum dompet-dompet yang lebih rentan dikosongkan.