Пользователи bitcoin вновь обращают внимание на основное предположение о самохранении после раскрытия проблемы «низкой энтропии», связанной с прошивкой аппаратного кошелька Coldcard. Согласно отчетам и анализу, упомянутым в крипто-сообществе, публично зафиксированные кражи, связанные с этой уязвимостью, начались примерно 30 июля, что побудило инвесторов и долгосрочных владельцев аппаратных кошельков пересмотреть способ генерации своих seed-фраз.
Хотя устройства Coldcard давно ценятся за офлайн-безопасность и контроль со стороны пользователя, этот эпизод подчеркивает неудобную истину: если случайность, используемая для создания семени кошелька, может быть предсказана или эффективно снижена, злоумышленники могут подобрать частные ключи методом перебора. Ситуация также возродила дискуссию внутри экосистемы о том, что на самом деле означает «проверка» безопасной энтропии и насколько сильно следует полагаться на аппаратное обеспечение вместо выполнения этого процесса пользователем.
Основные выводы
- Прошивка Coldcard, начиная с версии 4.0.1 (выпущенной в марте 2021 года), использует PRNG Yasmarang от MicroPython вместо корректного использования аппаратного RNG устройства STM32.
- Coinkite оценила, что затронутые модели Coldcard генерировали семена с примерно 40 битами энтропии (Mk2/Mk3) или около 70 бит (Mk4/Mk5/Q), чего недостаточно для надежного 12-словного семени BIP-39.
- Злоумышленники, как сообщается, подобрали закрытые ключи после того, как проблема стала известна, причем освещение в Cointelegraph указывает на украденную сумму более $100 млн в BTC.
- Пользователи, которые сгенерировали seed-фразы с использованием достаточного физического энтропии (например, кубиков), как утверждается, снижают зависимость от скомпрометированного пути случайности.
- Инструменты сообщества, такие как мониторинг ловушек, были использованы для оценки, какие типы кошельков злоумышленники эффективно опустошают.
Что изменилось в генерации случайности в Coldcard
Центральный технический тезис заключается в том, что аппаратные кошельки Coldcard содержали то, что выглядело как функциональные STM32 «истинные генераторы случайных чисел» (TRNG), предназначенные для создания непредсказуемых seed-фраз. Однако после того как создатель Coldcard NVK инициировал переписывание прошивки с целью перехода от модели свободного программного обеспечения с лицензией GPL к модели только для чтения, аналитики утверждают, что была введена серьезная уязвимость.
Начиная с версии прошивки 4.0.1, выпущенной в марте 2021 года, устройство, как сообщается, переключилось на PRNG Yasmarang от MicroPython вместо использования аппаратного RNG от STM32. Генерация случайных чисел считается изначально сложной задачей для компьютерных систем, и для создания безопасного семени обычно предполагается включение достаточного количества внешней физической непредсказуемости, чтобы сделать выводы практически невозможными для угадывания.
В экосистеме Yasmarang PRNG часто описывали как предварительно запрограммированный резервный вариант. Источник статьи ссылался на инженерный анализ от Block, объясняющий «предсказуемый резервный RNG» и механику подхода «32-битного повторного seeding». Позже Coinkite оспорил эту характеристику в посте на X, поставив под сомнение вывод о том, что устройство просто жестко закодировано на очевидно слабый метод.
Даже с учетом этого спора, более широкое значение остается неизменным: когда генерация семени кошелька не является по-настоящему непредсказуемой, частные ключи могут стать подлежащими поиску. Источник статьи отмечает спекуляции на X о том, был ли намеренно встроен бэкдор, а также приводит мнение Bitcoin-журналиста о том, что ошибка могла возникнуть из-за практик разработки и попыток подавить ошибки с помощью случайных изменений.
Уровни энтропии, безопасность семян и почему перебор имел значение
Оценки Coinkite, приведенные в исходном материале, точно указывают на масштаб проблемы. Было оценено, что устройства Mk2 и Mk3 генерировали seed-фразы с примерно 40 битами энтропии, в то время как Mk4, Mk5 и Q достигали примерно 70 бит. Как отмечается в источнике, оба показателя значительно ниже уровня в 128 бит, который обычно считается достаточным для безопасной 12-словной seed-фразы.
Этот дефицит имеет значение, поскольку он изменяет модель угроз. Вместо того чтобы требовать от злоумышленников перебора астрономических пространств ключей, сниженная эффективная энтропия может сделать обнаружение ключей значительно более практичным. Источник также указывает, что после обнаружения уязвимости злоумышленникам удалось перебрать закрытые ключи и украсть средства, что подтверждается освещением на Cointelegraph, где описываются кражи на сумму более чем 100 миллионов долларов США в эквиваленте BTC.
Вероятность того, что конкретный кошелек был найден и опустошен, представлена как зависящая от дополнительных переменных — таких как добавление дополнительного «熵 кубиков» или использование фразы-пароля BIP-39 и нестандартного пути вывода. Эти детали подчеркивают ключевую неопределенность для читателей: воздействие эксплойта могло быть неоднородным для всех пользователей и всех настроек кошельков.
Использование физической энтропии для снижения зависимости от аппаратного обеспечения
За пределами непосредственного скандала, связанного с прошивкой Coldcard, этот эпизод подтвердил повторяющийся принцип сообщества: «Не доверяй, проверяй». Источник утверждает, что пользователи, избежавшие использования непрозрачного аппаратного генератора для самого критически важного шага — создания семени — имели больше шансов избежать воздействия проблемы низкой энтропии.
Практический смысл заключается в том, что бросание костей предоставляет процесс, который пользователи могут наблюдать и проверять самостоятельно. В то время как проверка качества ИСГ требует детального анализа электроники и прошивки — задачи, которые большинство пользователей не могут выполнить.
Важно, что исходный материал указывает, что безопасное самохранение по-прежнему не требует отказа от возможности проверки. Если seed-фраза генерируется на основе физической энтропии, зависимость пользователя от скомпрометированного аппаратного пути снижается. Также описываются способы проверки, совпадают ли производные артефакты между устройствами — например, импорт той же seed-фразы на другое устройство для проверки соответствия полученных xpub и адресов получения.
Для обнаружения других классов компрометации исходный материал также упоминает проверку подписей: утечка nonce через воздушный зазор может быть обнаружена путем сравнения, генерируют ли два устройства одинаковую подпись при получении идентичной неподписанной транзакции, с ссылкой на RFC 6979 для детерминированного поведения подписи.
Хотя эти проверки не могут заменить настоящую непредсказуемость в момент создания энтропии, они создают дополнительные препятствия для злоумышленников и могут помочь пользователям выявить аномалии в обработке и подписании транзакций.
Как сообщество генерирует энтропию без доверия к одному устройству
После того как уязвимость стала общественностью, источники сообщают, что методы и предложения по генерации энтропии непосредственно из физических входных данных быстро распространились в сообществе. Один из широко используемых подходов описывает проверку преобразования костей в seed-фразу путем перекрестной проверки способности устройства корректно преобразовывать грани костей в seed-фразу BIP-39 с помощью хеширования. В статье утверждается, что использование более чем 100 бросков костей может быть достаточно для генерации энтропии для 24-словной seed-фразы.
Другие варианты включают бумажные системы. Источник ссылается на таблицу, опубликованную Bitbox, которая использует метод поиска для сопоставления комбинаций результатов бросков костей — плюс подбрасывание монеты — непосредственно с seed-словами BIP-39 без использования электроники. Также упоминаются более продвинутые рабочие листы, включая подход codex32 для устранения смещения костей, использующий экстрактор фон Неймана, позволяющий даже смещенным костям генерировать безопасный seed-материал, который можно вычислить вручную.
Для пользователей, ищущих удобство, источник указывает на альтернативы, снижающие вероятность ошибок, такие как печать и вырезание фрагментов слов BIP-39, их перемешивание и случайный выбор слов — методы, упрощённые такими продуктами, как Seedsticks или Entropia. Также упоминаются специализированные аппаратные устройства, предназначенные для проверяемого распределения энтропии между устройствами, а также примеры физических генераторов энтропии, разработанных сообществом и опубликованных на X.
В совокупности эти идеи смещают акцент с вопроса «какой аппаратный кошелек наиболее надежен» на вопрос «как генерируется случайность в момент, когда безопасность от нее зависит». На практике инцидент с Coldcard побудил многих пользователей относиться к созданию seed не как к черному ящику, а как к процессу, который можно воспроизвести и логически проанализировать.
В дальнейшем читателям следует следить за более четким техническим консенсусом относительно того, как именно затронутый путь прошивки приводил к выводам с низкой энтропией в различных моделях, а также за дальнейшими аналитическими инструментами — такими как отслеживание honeypot, упомянутые в источнике — для уточнения оценок того, какие поведенческие модели кошелька остаются наиболее устойчивыми. До тех пор наиболее безопасный практический вывод прост: где это возможно, генерация семени должна быть столь же независимо проверяемой, как и остальная часть вашего рабочего процесса самохранения.
Эта статья была первоначально опубликована как Bitcoin Users Reassess Self-Custody After Risk Concerns Rise на Crypto Breaking News — вашем надежном источнике новостей о криптовалютах, новостей о bitcoin и обновлений блокчейна.