Пятилетний дефект в программном обеспечении Coldcard мог позволить злоумышленнику восстановить закрытые ключи и изъять более 1 100 bitcoin, что побудило производителя кошелька частично возложить вину за это открытие на искусственный интеллект (ИИ).
Основные выводы
- Семена, связанные с Coldcard, были раскрыты: 1 128,4717 BTC, что составляет около 71,1 млн долларов США.
- Coinkite говорит, что ИИ, возможно, обнаружил пятилетний недостаток, но его происхождение остается неподтвержденным.
- Пользователи Coldcard с затронутыми семенами должны создать новые кошельки на исправленной прошивке.
Скоординированное изъятие опустошает сотни кошельков
Инцидент стал общественностью после того, как примерно 594 BTC, оценивавшихся примерно в 38 миллионов долларов США на тот момент, были переведены с примерно 500 одноподписных bitcoin-адресов 30 июля. Когда новость впервые стала известна, Bitcoin.com News отметила, что переводы произошли в течение примерно 25 минут и, по всей видимости, были направлены на кошельки с общей технической уязвимостью.
Поздние анализы блокчейна расширили возможный масштаб кражи. Исследователи оценили, что в течение примерно 41 минуты могли быть затронуты от 1 082 до 1 196 адресов. Пользовательская панель управления под названием Coldcard Sweep Watch позже установила общую сумму в 1 128,4717 BTC, что эквивалентно примерно 71,1 млн долларов США при курсе bitcoin около 63 044 долларов США.
Большая часть средств была консолидирована в адрес, содержащий сотни bitcoin, где значительная часть оставалась практически неподвижной. Затронутые адреса были связаны одним важным деталем: их восстановительные семена были созданы на аппаратных кошельках Coldcard, произведенных канадской компанией Coinkite.
Слово восстановления — это список слов, который управляет доступом к кошельку криптовалюты. Любой, кто может восстановить или получить это слово, обычно может переместить средства кошелька, не имея физического устройства.
Coldcard обнаруживает сломанную систему случайности
Coinkite выпустил срочное предупреждение, что некоторые семена, сгенерированные на устройствах Coldcard, могут быть слабыми. Устройства Mk3 с прошивкой версии 4.0.1, выпущенной примерно в марте 2021 года, и более поздними версиями оказались среди тех, кто подвергся наибольшему риску.
Дальнейший анализ расширил опасения до семян, созданных на некоторых устройствах Mk4, Mk5 и Q до того, как Coinkite выпустила аварийные обновления прошивки. Продукты Tapsigner, Opendime и Satscard, как сообщается, не затронуты, поскольку используют другое программное обеспечение.
Уязвимость связана с процессом, используемым для генерации случайных данных. Безопасные кошельки зависят от высококачественной случайности, чтобы их восстановительные семена нельзя было угадать. На наиболее серьезно затронутых устройствах Mk3 исследователи оценили, что семя могло содержать лишь около 40 бит эффективной случайности вместо запланированных 128 бит.
Эта разница критична. Правильно сгенерированный 128-битный сид считается практически невозможным для угадывания методом перебора. 40-битный сид предлагает значительно меньше вариантов, позволяя злоумышленнику с достаточной вычислительной мощностью тестировать потенциальные сиды оффлайн и сравнивать полученные адреса с публичным блокчейном bitcoin.
Некоторые более новые устройства могли обеспечить примерно 72 бита эффективной случайности, поскольку безопасное аппаратное обеспечение добавило дополнительный слой непредсказуемых данных. Это сделало бы семена сложнее для восстановления, хотя всё ещё намного слабее, чем предполагалось.
Одна ошибка конфигурации оставалась незамеченной в течение 5 лет
Проблема началась с ошибки конфигурации во время сборки, связанной с двумя программными функциями, выполняющими схожие задачи. Одна функция использовала аппаратный генератор истинных случайных чисел устройства, в то время как другая полагалась на более слабый программный процесс, унаследованный от MicroPython.
Coinkite планировал отключить возможность MicroPython. Однако программная проверка учитывала только наличие определенной конфигурационной метки, а не то, установлено ли ее значение в ноль. В результате итоговая прошивка могла без предупреждения выбирать более слабую функцию.
Поскольку обе функции имели одинаковый формат, программа продолжала компилироваться и работать, не вызывая явных ошибок. Ошибка была внесена в код около 2021 года во время миграции программного обеспечения и оставалась в публично доступной прошивке более пяти лет.
Обновление устройства сейчас не укрепит семя, сгенерированное под влиянием ошибочного программного обеспечения. Пользователям, затронутым этой проблемой, необходимо создать совершенно новое семя с использованием исправленной прошивки или другого безопасного устройства, а затем перевести свои средства на адреса, контролируемые этим новым семенем.
Пользователи, добавившие не менее 50 независимых бросков костей при создании своего seed, могли обеспечить достаточную дополнительную случайность, чтобы избежать уязвимости. Сильный пароль BIP-39 также мог затруднить восстановление, а кошельки, требующие подписей от нескольких независимых устройств, могли предотвратить перемещение средств одним скомпрометированным seed.
Coinkite указывает на ИИ, но доказательства по-прежнему отсутствуют
Генеральный директор Coinkite Родольфо Новак публично извинился и заявил, что компания полностью берет на себя ответственность за сбой прошивки. Он сказал, что команда работает над исправленным программным обеспечением, техническими отчетами и поддержкой пострадавших пользователей.
Coinkite и Новак также выдвинули любопытную теорию о том, как была обнаружена эта уязвимость. Поскольку его прошивка была доступна публично в течение многих лет, компания заявила, что считает, кто-то мог использовать ИИ для анализа более ранних версий кода и обнаружения пути слабой случайности.
«Каждому другому разработчику: мы считаем, что это трезвая реальность новой парадигмы ИИ. Проверка кода с помощью ИИ теперь может обнаруживать скрытые ошибки со скоростью, превышающей скорость даже самых опытных экспертов отрасли», — написал Новак в своем извинительном посте, опубликованном на X. «Если ваша прошивка является открытой или когда-либо была доступна публично, предполагайте, что она уже читается как нападающими, так и защитниками».
Современные системы кодирования на основе ИИ сегодня могут обрабатывать крупные репозитории программного обеспечения и выявлять подозрительные взаимосвязи между настройками конфигурации, функциями и предположениями о безопасности. Злоумышленник может попросить такую систему специально искать слабые генераторы случайных чисел, функции резервного копирования или ошибки, влияющие на криптографические ключи.
Независимые исследователи позже сообщили, что использовали модели ИИ для поиска или объяснения проблемы после того, как стала известна проблема с случайностью. Это продемонстрировало, насколько доступным стал анализ кода с помощью ИИ, но не доказало, что первоначальный злоумышленник использовал ИИ.
Coinkite признала, что собственный обзор с использованием ведущей модели ИИ не выявил уязвимость до кражи. Этот результат показывает, что системы ИИ не автоматически обнаруживают все серьезные дефекты. Их эффективность может зависеть от инструкций, которые им дают, объема кода, предоставленного для анализа, и того, понимает ли человеческий рецензент признаки предупреждения.
Критики говорят, что человеческий сбой произошел первым
Некоторые специалисты по безопасности утверждают, что чрезмерное внимание к рискам, связанным с искусственным интеллектом (ИИ), отвлекает от базовой инженерной ошибки. Многие считают, что ошибка конфигурации была известным типом программной ошибки, и традиционные проверки кода, процедуры тестирования или аудиты, сосредоточенные на генерации семян, могли бы обнаружить её много лет назад.
Противоположные точки зрения не обязательно несовместимы. Человеческая ошибка создала уязвимость и позволила ей сохраниться, в то время как ИИ мог снизить стоимость поиска, понимания или эксплуатации ее. Защитникам необходимо выявить каждую опасную слабость, в то время как атакующему достаточно найти только одну.
Инцидент также ставит под сомнение предположения о безопасности открытого исходного кода. Публичный код позволяет независимым экспертам проверять программное обеспечение, но сама доступность не гарантирует, что кто-то обязательно проверит нужный участок, распознает тонкий дефект и сообщит о нем до того, как злоумышленник воспользуется им.
Для пользователей Coldcard приоритетом является определение времени и способа создания их семени. Все пользователи с затронутым семенем должны подтвердить инструкции через официальные каналы Coinkite, установить исправленную прошивку, создать новое семя и осторожно перевести средства, следя за фишинговыми попытками и поддельными сообщениями поддержки.
Более долгосрочные вопросы будут сосредоточены на том, сколько bitcoin было похищено, сможет ли следствие идентифицировать нападавшего, и играла ли ИИ какую-либо решающую роль в обнаружении уязвимости. Компании, производящие аппаратные кошельки, также столкнутся с давлением, чтобы усилить тестирование энтропии, провести аудит конфигураций сборки и постоянно проверять старый код с помощью как человеческих экспертов, так и враждебных инструментов ИИ.