Більше ніж 1 000 bitcoin, що становить близько 70 мільйонів доларів США, було виведено з 1 196 гаманців за 41 хвилину 30 липня, майже вдвічі більше суми, ніж повідомлялося на початку крадіжки.
Galaxy Research зафіксувала повну подію на п’ятницю, виявивши, що 1 082,65 BTC було переказано між 01:10 і 01:51 UTC через шість блоків, при цьому три проміжні блоки були порожніми, що свідчить про те, що транзакції були надіслані пакетами, а не безперервно.
Доходи знаходяться на чотирьох адресах і не рухалися. Ранні звіти зафіксували лише одну з цих адрес, саме тому сума зросла.
Розмір атаки значно менший, ніж у деяких великих атак цього року, але сам механізм робить це незвичайним — і саме тому атака має таке велике значення.
Більшість крипто-крадіжок полягає у отриманні доступу до чогось. Біржу взламують, контракт обманюють, ключ викрадають з ноутбука. Захист завжди базувався на відстані — саме це й продає апаратний гаманець. Зберігайте ключ на пристрої, який ніколи не під’єднується до інтернету, і теоретично в нападника не буде нічого, до чого він міг би дотнутися.
При створенні гаманця пристрій має вибрати число, настільки велике й непередбачуване, що його вгадати неможливо.
Це число є посівом, і кожна адреса та приватний ключ виводяться з нього за допомогою фіксованих загальноприйнятих правил. Прошивка Coldcard мала отримувати це число з виділеного апаратного генератора випадкових чисел. Внутрішній параметр збірки вказував йому пропустити цей генератор, а перевірка в супутній бібліотеці перевіряла лише наявність цього параметра, а не те, чи він увімкнений.
Генерація ключа перейшла на базовий програмний замінник, ініціалізований серійним номером чіпа та його годинниковими реєстрами. Цей серійний номер — це фіксовані заводські метадані, а значення годинника — це часовий стан, який атакуючий може вузько визначити або виміряти на пристрої, що належить йому.
Наслідком стало те, що діапазон ключів, які пристрій міг коли-небудь згенерувати, скоротився з непредставно величезного до злічуваного. Команди безпеки виявили, що генерацію ключів можна визначити на старіших Mk2 і Mk3 — номерах для різних моделей Coldcard — але на Mk4, Q і Mk5 вони оцінили діапазон приблизно в чотири мільярди можливостей.
Чотири мільярди — це велике число для людини, але маленьке для комп’ютера. Зловмисник генерує кандидати на посіви на власному обладнанні, виводить адреси, які вони б виробили, і перевіряє ці адреси проти публічного блокчейну, який може завантажити будь-хто.
Кожен крок цього виконується на машині нападника. Пристрій жертви не задіяний ні в який момент і може бути вимкнений у сейфі на іншому континенті.
Розбір Galaxy показує, що процес виконується. З вичерпаних гаманців 1 183 використовували сучасний нативний формат адрес segwit, сім — старіший стандарт і шість — ще старіший. Ніхто не цілиться у конкретну жертву одночасно через три формати адрес.
Це систематичне перебирання, перевірка кожного кандидата на посів проти кожного шляху, який він міг би породити. Оператор може розширити пошук, уточнити його та повернутися в будь-який момент.
Galaxy попередила, що імовірні додаткові хвилі, якщо власники не перемістять свої кошти.
Власник також не може визначити, чи піддається він ризику. Немає тесту, який можна запустити на вашому власному гаманці, щоб виявити, чи знаходиться ваше посівне слово в межах відтворюваного діапазону.
Coinkite, виробник Coldcard, попередив власників Mk3 і сказав, що їхні нові пристрої не страждають, тоді як звіт Block також включає Mk2, Mk4, Q і Mk5. Доки це не буде вирішено, будь-хто, хто створив seed на вразливій прошивці, повинен припускати найгірший сценарій, а не перевіряти його.
Атакувач, однак, допустив одну помилку.
Block's Clay Garrett sказав на X, що оператор використовував платний акаунт у «відомому постачальнику даних блокчейну» для запиту вихідних адрес під час зборів, і що внутрішні журнали постачальника збігалися з підозрюваним робочим процесом з надзвичайною точністю, до кількості, часу та послідовності запитів.
1/ Під час нашого розслідування витоку з Coldcard вчора ми виявили незвичайний шаблон у переказах. Цей шаблон привів нас до гіпотези, яка згодом була підтверджена: оператор використовував платний акаунт у відомому провайдері послуг блокчейн, щоб запитати джерело… https://t.co/l5McyhhcNn
— Clay Garrett (@clay_garrett)Виявляється, що провайдер надавав звичайні послуги запитам, які не мали жодних вказівок на їхній ціль. Block передав інформацію до органів влади.
Холодне сховище обіцяє, що ключ неможливо вгадати. Усі сприймають це як обітницю, що ключ недоступний, а вартість виявлення та використання недоліків першого типу постійно знижується.
Anthropic опублікувала дослідження у вівторок, яке показує, що одна з її моделей зменшила безпеку кандидата в постквантовий алгоритм за 60 годин, навіть незважаючи на те, що цей алгоритм витримав два роки експертного огляду.
Безпечне зберігання ключа тепер — це простіша частина проблеми.