Tohum zafiyeti nedeniyle Coldcard cüzdanları etkileniyor, milyonlarca bitcoin çalınıyor

Bir saldırgan, 30 Temmuz'da bazı Coldcard donanım cüzdanları tarafından oluşturulan zayıf tohumları kullanarak yüzlerce adresten yaklaşık on milyonlarca dolar değerinde bitcoin çaldı.

Galaxy Research'in derin bir analizine göre, temel çalma, yaklaşık 25 dakika süren sıkı bir şekilde koordine edilmiş bir patlama şeklinde gerçekleşti; daha geniş analizler daha sonra yaklaşık 1.196 adres ve yaklaşık 41 dakika süren faaliyetlere bağlı olarak 1.083 bitcoin (yaklaşık 70 milyon dolar değerinde) ilişkilendirildi. Son rakamlar, araştırmacılar kamu Bitcoin blok zinciri üzerindeki işlemlerini izlemeye devam ettikçe değişebilir.

Etkilenen cüzdanlar, Mart 2021 itibarıyla yayınlanan güvenlik açıklarına sahip firmware çalıştıran Coldcard cihazları kullanarak kurtarma tohumlarını oluşturmuş uzun vadeli tutuculara aitti. Coldcard, Kanadalı üretici Coinkite tarafından üretilen, bitcoin (BTC) anahtarlarını internete bağlı cihazlardan izole tutmak amacıyla tasarlanmış bir hava ile yalıtılmış donanım cüzdanıdır.

Boşaltılan adreslerin çoğu yıllarca hareketsiz kalmıştı. Saldırgan hızlı hareket etti, yükseltilmiş sabit işlem ücretleri ödedi ve hiçbir değişim çıktısı bırakmadı, bu da her bir adresin tamamen boşaltıldığı anlamına geliyordu. Bu desen, müşterilerin kendi fonlarını hareket ettirmesi yerine, hazırlanan bir özel anahtar listesi kullanan otomatik bir işlemi gösteriyordu.

Hırsızlık, phising, kullanıcının bilgisayarındaki kötü amaçlı yazılım, fiziksel cihazın çalınması veya geleneksel bir uzaktan saldırı nedeniyle meydana gelmedi. Bunun yerine, bir donanım hatası, bazı Coldcard cihazları tarafından cüzdan tohumları oluşturulurken kullanılan rastgelelikleri zayıflattı. Bu tohumlar normal görünüyordu ancak kullanıcıların vaat edildiğinden çok daha küçük bir kombinasyon aralığından geliyordu.

Bir bitcoin cüzdanı tohumu, cüzdanın adreslerini ve özel anahtarlarını oluşturduğu, genellikle 12 veya 24 kelimeden oluşan gizli bir dizidir. Doğru şekilde oluşturulan 12 kelimelik bir tohum, tahmin edilmesi neredeyse imkânsız olan devasa bir olası kombinasyon sayısını tanımlayan teknik bir ölçüm olan 128 bit entropiye sahiptir.

Coldcard cihazları, cihazın mikrodenetleyicisi içindeki donanım rastgele sayı üretecinden bu rastgeellikleri elde etmeliydi. Bu bileşen, dış bir gözlemcinin tahmin edememesi gereken fiziksel elektrik gürültüsünden yararlanır.

Ancak 2021 yılında bir yazılım kütüphanesi geçiş sırasında Coinkite, arayüzleri eşleşen iki rastgele sayı fonksiyonunun karıştırıldığını açıkladı. Birisi cihazın doğru donanım üreticisine erişiyordu. Diğeri, uygun donanıma sahip olmayan paneller için tasarlanmış zayıf bir yazılım yedekleyiciydi.

Bir yapılandırma ayarı, Coinkite'nin kendi donanım sarmalayıcısını sağladığı için varsayılan MicroPython donanım yolunu devre dışı bıraktı. Yazılım, yalnızca bu ayarın var olup olmadığını kontrol etti, etkin olup olmadığını değil. Ayar mevcut olsa da sıfır değeri atandığı için derleme başarıyla tamamlandı, ancak tohum üretimi sessizce daha zayıf yazılım üreteçine geçti.

Bu yedekleme, seri numarasına benzer bir çip tanımlayıcısı ve başlatma zamanıyla ilişkili dahili saat değerleri gibi öngörülebilir cihaz bilgilerine büyük ölçüde dayanıyordu. Bu girdileri daraltabilen bir saldırgan, güvenli şekilde oluşturulan bir tohumdan beklenen 128-bit aralığa kıyasla çok daha küçük bir arama yapmak zorunda kalacaktı.

Coinkite, mevcut varsayımlar altında, savunmasız Mk3 çekirdekler için etkili arama uzayını yaklaşık 40 bit olarak tahmin etti. Bu hâlâ büyük bir olasılık sayısıdır, ancak bir saldırgan, aday çekirdekleri blok zinciri üzerinde görünür bitcoin adresleriyle karşılaştırabildiğinde, bu arama özel hesaplama ekipmanları ile gerçekleştirilebilir.

Mk4, Q ve Mk5 dahil daha sonraki Coldcard modelleri, güvenli bir elemandan bazı rastgelelikler ekledi. Ancak, yalnızca sınırlı bir miktar etkilenen jeneratöre ulaştı ve düzeltici firmware kurulmadan önce oluşturulan anahtarların etkili entropisi yaklaşık 72 bit olarak tahmin edildi. Bu, Mk3 yolundan daha güçlüydü ancak hedeflenen 128-bit standardının altında kaldı.

Fark, gerçekten rastgele bir kilit kombinasyonunu, kilitin seri numarası ve ilk açılış zamanından türetilen bir kombinasyonla değiştirmeye benzer. Elde edilen kombinasyon rastgele görünse de, formülü bilen ve başlangıç bilgilerini tahmin edebilen biri bunu yeniden üretebilir. Birçok kullanıcı, sadece Mk3 cihazlarından değil, Mk4, Q ve Mk5'ten de taşınıyor.

Coinkite güvenlik uyarılarını yayınladı ve aktif tehdit hakkında bilgi edindikten sonra firmware’i düzeltti. Şirket, etkilenen firmware’de seed oluşturmuş kullanıcıların, düzeltilmiş bir sürüm kullanarak tamamen yeni bir seed oluşturup bitcoin’lerini bu seed tarafından kontrol edilen adreslere transfer etmeleri gerektiğini söyledi.

Güncellemeyi yalnızca yüklemek yeterli değildir. Hatalı sistem altında oluşturulan bir seed, donanım güncellemesi zaten var olan kelimelere rastgelelik ekleyemeyeceğinden kalıcı olarak zayıf kalır.

Coinkite, kullanıcıların cihazlarını güncellemelerini, yeni bir seed oluşturmalarını, yedeklemeyi ve cüzdan parmak izini doğrulamalarını, alım adresini onaylamalarını, küçük bir test işlemi göndermelerini ve ardından kalan bakiyeyi taşımayı önerdi. Kullanıcılar, transferin onaylanmasına kadar eski yedeği korumalı, ancak eski seed'i artık güvenli olarak görmemelidir.

Şirket, Mk3 sürüm 4.2.0 veya daha sonraki, Mk4 ve Mk5 sürüm 5.6.0 veya daha sonraki ile Q sürüm 1.5.0Q veya daha sonraki sabit sürümlerini ve ilgili Edge sürümlerini belirledi. Tapsigner, Opendime ve Satscard ürünlerinde farklı kodlar kullanılmaktadır ve bu ürünlerin etkilenmediği bildirilmiştir.

Bir tohum oluştururken yeterli sayıda bağımsız zar atımı yapan kullanıcılar, kendi rastgelelikleri hatalı yazılım girdisini bastırdığı için önemli ölçüde korunmuştu. Coinkite, adil bir zarın en az 50 özel atımının bu sorundan yeterli koruma sağladığını belirtti, ancak ek zar atımları daha geniş bir güvenlik marjı sağlayabilir.

Güçlü bir BIP-39 şifre cümlesi, sadece tohum kelimelerinden yeniden oluşturulamayan ayrı bir cüzdan da oluşturur. Bitcoin'in hareket etmesinden önce birden fazla cihazdan veya konumdan anahtarlar gerektiren çok imzalı cüzdanlar, hassas Coldcard tohumu imzalama düzeninin yalnızca bir parçasını temsil ettiğinde büyük ölçüde veya tamamen korunmuştu.

Ancak bu koruma önlemleri isteğe bağlıydı. Birçok mağdur, o dönemde mevcut olan standart güvenlik tavsiyelerini takip etmiş gibi görünüyor: Saygın bir donanımsal cüzdan satın alın, seed’i çevrimdışı oluşturun, yedeği koruyun ve asla bunu internete bağlı bir cihaza girirmeyin.

Coinkite CEO Rodolfo Novak, yaygın olarak NVK olarak bilinen, 31 Temmuz'da kamuoyunda özür diledi ve şirketin donanım hatasından tam sorumluluğu kabul ettiğini söyledi. “Üzgünüm ve çöküntü içindeyim. Ekibim, dünki habere çok etkilendi,” diye yazdı Novak. Yeni oluşturulan tohumların güvenli hale getirildiğini, ancak kırılgan yazılım altında üretilen tohumların onarılamadığını kabul etti.

Novak, Coinkite'nin ayrıntıları doğrulandıktan sonra tam bir teknik rapor yayınlamayı ve polis raporu, sigorta talebi veya bağımsız araştırmalar isteyen etkilenen kullanıcılara yardımcı olacağını açıkladı. Ayrıca geliştiricilere, yapay zeka (AI) araçlarının artık geleneksel inceleme süreçlerinden daha hızlı eski halka açık kodlarda gizli zayıflıkları tarayabileceğini uyarıdı.

Coinkite, açık kaynak firmware’ini incelemek için bir saldırganın yapay zekâ kullandığını vurguladı, ancak bu zayıflığın nasıl keşfedildiğine dair hiçbir kanıt bulunmamaktadır. Şirket, son zamanlarda önde gelen bir yapay zekâ modeliyle gerçekleştirilen bir incelemenin sorunu tespit edemediğini de kabul etti. Birçok rakip donanımsal cüzdan üreticisi, ürünlerinin etkilenmediğini belirtmek için sosyal medyaya başvurdu.

“Ledger, son olarak yayınlanan Coldcard Mk3 uyarısından etkilenmemektedir,” şirket, Coldcard olayının ardından X kullanıcılarına söyledi. “Ledger cihazları, her 24 kelimelik Gizli Kurtarma İfadesi için tam 256 bit entropi üretmek üzere Güvenli Eleman çipimize doğrudan entegre edilmiş, sertifikalı Gerçek Rastgele Sayı Üreteci (TRNG) kullanır.”

Trezor kullanıcıları: fonlarınız güvenli,” donanımsal cüzdan üreticisi Trezor, Cuma günü açıkladı. “Son Coldcard sorunu, yalnızca kendi özel firmware’lerine ve bazı cihazlarının rastgelelik üretme yöntemine sınırlıdır. Trezor bu kodu paylaşmaz.”

Trezor X hesabı eklendi:

Her zaman birden fazla bağımsız rastgelelik kaynağı birlikte kullandık (cihaz donanımı + ana bilgisayar + daha yeni modellerdeki güvenli elemanlar). Bitcoin kaybeden herkese gerçekten özür dileriz.

Saldırganın kimliği bilinmiyor ve çalınan bitcoin, konsolide adreslerinden her an harekete geçebilir. Araştırmacılar, aslında kaç adet savunmasız çekirdek üretildiğini, ne kadar bitcoin’in hâlâ maruz kaldığını ve ekstra yüksek değerli cüzdanların saldırgan tarafından zaten tanımlanıp tanımlanmadığını belirlemek için çalışmaya devam ediyor. Ancak Coinkite, uzun zaman önceki sahiplerle ilgili fazla bilgiye sahip olmayabilir.

“Eğlenceli çift keskinli kılıç: Coinkite, veri ihlallerine karşı korunmak için tüm müşteri kayıtlarını 120 gün sonra siler,” Casa'nın ortak kurucusu Jameson Lopp, X'te rapor etti. “Bu da, son 5 yıl içinde savunmasız ColdCard'lar satın alan müşterilere bu zafiyet hakkında uyarı yapamaması anlamına geliyor.”

Olay, Coinkite'nin Coldcard üzerindeki güveni yeniden kurup kурamayacağını da test edecektir; ayrıca donanımlı cüzdan üreticilerinin tohum üretimi konusunda daha güçlü bağımsız incelemeler benimseyip benimsemeyeceğini de gösterecektir. Kullanıcılar için hemen öncelik daha basittir: Güçlü bağımsız zar girdisi, şifre cümlesi veya çok imzalı koruma olmadan etkilenen firmware üzerinde bir tohum oluşturmuş herkes, bu tohumu ihlal edilmiş olarak görmeli ve fonlarını yeni oluşturulan bir cüzdana dikkatli bir şekilde taşımalıdır.

Yıkıcı hırsızlığın ötesinde, topluluk boyunca bitcoin kullanıcıları uyarıda bulunuyor ve daha fazla hassas cüzdan boşalmadan önce bilgiyi yaymaya çağırıyor.