Помилка в програмному забезпеченні Coldcard віком п’ять років могла дозволити зловмиснику відновити приватні ключі й вивести більше ніж 1 100 bitcoin, що спонукало виробника гаманця частково покласти вину за це відкриття на штучний інтелект (AI).
Основні висновки
- Сімени, пов’язані з Coldcard, були відкриті — 1 128,4717 BTC, що становить близько $71,1 мільйона.
- Coinkite стверджує, що ШІ може знайти п’ятирічну помилку, але встановлення авторства залишається непідтвердженим.
- Користувачі Coldcard із вразливими семенами повинні створити нові гаманці на виправленій прошивці.
Скоординований вивід порожнів сотні гаманців
Інцидент став відомим після того, як приблизно 594 BTC, що коштували близько $38 мільйонів на той момент, були переказані з близько 500 адрес bitcoin з однією підписом 30 липня. Коли новина вперше з’явилася, Bitcoin.com News зазначив, що перекази відбулися протягом приблизно 25 хвилин і, схоже, мали на меті гаманці з спільною технічною слабкістю.
Пізніші аналізи блокчейну розширили можливий масштаб крадіжки. Дослідники оцінили, що протягом приблизно 41 хвилини можливо було вплинуто на від 1 082 до 1 196 адрес. Пізніше користувацька панель управління під назвою Coldcard Sweep Watch визначила загальну суму в 1 128,4717 BTC, що становить близько $71,1 мільйона, коли bitcoin торгувався близько $63 044.
Більшість коштів було консолідовано в адресу, яка містить сотні bitcoin, де велика частина залишилася майже нерухомою. Захищені адреси були пов’язані однією важливою деталлю: їхні ключі відновлення були створені на апаратних гаманцях Coldcard, вироблених канадською компанією Coinkite.
Резервна фраза — це список слів, які керують доступом до гаманця криптовалюти. Будь-хто, хто зможе відновити або отримати цю фразу, зазвичай може переказати кошти з гаманця, не маючи фізичного пристрою.
Coldcard виявляє неробочу систему випадковості
Coinkite випустила термінове попередження, що деякі ключі, згенеровані на пристроях Coldcard, можуть бути слабкими. Пристрої Mk3 з прошивкою версії 4.0.1, випущеною близько березня 2021 року, та пізніші версії були серед тих, хто стикається з найбільшим ризиком.
Додатковий аналіз розширив стурбованість щодо ключів, створених на деяких пристроях Mk4, Mk5 і Q до того, як Coinkite випустила аварійні оновлення прошивки. Продукти Tapsigner, Opendime та Satscard, як повідомляється, не були вплинуті, оскільки вони використовують інше програмне забезпечення.
Вада стосувалася процесу, використовуваного для генерації випадкових даних. Безпечні гаманці залежать від високоякісної випадковості, щоб їхні ключі відновлення не можна було вгадати. На найбільш серйозно уражених пристроях Mk3 дослідники оцінили, що ключ відновлення міг містити лише близько 40 біт ефективної випадковості замість запланованих 128 біт.
Ця різниця критична. Належним чином згенерований 128-бітний посів вважається практично неможливим для вгадування шляхом підбору. 40-бітний посів пропонує значно менше можливостей, що дозволяє атакуючому з достатньою обчислювальною потужністю тестувати потенційні посіви автономно та порівнювати отримані адреси з публічним блокчейном bitcoin.
Деякі новіші пристрої могли надати приблизно 72 біти ефективної випадковості, оскільки безпечне обладнання додало ще один рівень непередбачуваних даних. Це зробило б посіви складнішими для відновлення, хоча все ще набагато слабкішими, ніж передбачалося.
Одна помилка конфігурації існувала 5 років
Проблема виникла через помилку конфігурації під час збирання, пов’язану з двома програмними функціями, які виконували схожі завдання. Одна функція використовувала апаратний генератор справжніх випадкових чисел пристрою, тоді як інша базувалася на слабшому програмному процесі, успадкованому від MicroPython.
Coinkite планував вимкнути опцію MicroPython. Однак програмна перевірка перевіряла лише чи було визначено мітку конфігурації, а не чи було її значення встановлено на нуль. Як наслідок, готова прошивка могла тихо вибирати слабшу функцію.
Оскільки дві функції мали однаковий формат, програмне забезпечення продовжувало компілюватися та працювати, не викликаючи очевидних помилок. Помилка була внесена до коду під час міграції програмного забезпечення близько 2021 року і залишалася у публічно доступній прошивці більше п’яти років.
Оновлення пристрою зараз не підсилює сід, згенерований за допомогою несправного програмного забезпечення. Користувачі, які страждають від цієї проблеми, повинні створити абсолютно новий сід за допомогою виправленої прошивки або іншого безпечного пристрою, а потім перевести свої кошти на адреси, що контролюються цим новим сідом.
Користувачі, які додали щонайменше 50 незалежних кидків кубика під час створення свого seed, можуть надати достатньо додаткової випадковості, щоб уникнути слабкості. Сильний BIP-39 пароль також може ускладнити відновлення, тоді як гаманці, що вимагають підписів від кількох незалежних пристроїв, можуть запобігти переміщенню коштів одним скомпрометованим seed.
Coinkite вказує на ШІ, але докази відсутні
Генеральний директор Coinkite Родольфо Новак публічно вибачився і сказав, що компанія повністю бере на себе відповідальність за невдачу прошивки. Він сказав, що команда працює над виправленою програмною частиною, технічними звітами та підтримкою для постраждалих користувачів.
Coinkite та Новак також висунули вражаючу теорію щодо того, як було виявлено цей недолік. Оскільки його прошивка була доступна для загального користування роками, компанія вважає, що хтось міг використати ШІ для аналізу старіших версій коду та виявлення шляху слабкої випадковості.
«Кожному іншому розробнику: ми вважаємо це трезвою реальністю нової парадигми ШІ. ШІ-асистенти для перевірки коду зараз можуть виявляти приховані баги зі швидкістю, що перевищує навіть найдосвідченіших експертів галузі», — написав Новак у своєму вибаченні, опублікованому на X. «Якщо ваша прошивка є відкритого коду або коли-небудь була публічною, припустіть, що її вже читають як нападники, так і захисники».
Сучасні системи штучного інтелекту для програмування можуть обробляти великі репозиторії програмного забезпечення та виявляти підозрілі зв’язки між налаштуваннями конфігурації, функціями та безпековими припущеннями. Зловмисник може попросити таку систему спеціально шукати слабкі генератори випадкових чисел, функції запасу або помилки, що впливають на криптографічні ключі.
Незалежні дослідники пізніше повідомили, що використовували моделі ШІ для виявлення чи пояснення проблеми після того, як було відомо про базову проблему випадковості. Це продемонструвало, наскільки доступним став аналіз коду з використанням ШІ, але не доводило, що початковий нападник використовував ШІ.
Coinkite визнала, що її власний огляд за допомогою провідної моделі ШІ не виявив недолік до крадіжки. Цей результат показує, що системи ШІ не знаходять автоматично всі серйозні дефекти. Їх ефективність може залежати від інструкцій, які їм надаються, кількості наданого коду та чи розуміє людина-ревізор попереджувальні ознаки.
Критики стверджують, що людська помилка відбулася першою
Деякі фахівці з безпеки вважають, що надмірна увага до ризиків штучного інтелекту (AI) відволікає від базової інженерної помилки. Багато хто вважає, що помилка конфігурації була відомим типом програмної помилки, і звичайні перевірки коду, процедури тестування або аудит, спрямовані на генерацію посівів, могли б виявити її роками раніше.
Протилежні погляди не обов’язково суперечать один одному. Людська помилка створила вразливість і дозволила їй існувати, тоді як ШІ може знизити вартість виявлення, розуміння або експлуатації її. Захисникам потрібно виявити кожну небезпечну слабкість, тоді як атакувальнику достатньо знайти лише одну.
Цей інцидент також ставить під сумнів припущення щодо безпеки відкритого коду. Публічний код дозволяє незалежним експертам перевіряти програмне забезпечення, але сама наявність коду не гарантує, що хтось перевірить правильний розділ, виявить тонкий дефект і повідомить про нього до того, як зловмисник діятиме.
Для користувачів Coldcard негайна пріоритетна задача — визначити, коли і як було створено їхній seed. Усім, хто має вплинуті seed, необхідно перевірити інструкції через офіційні канали Coinkite, встановити виправлену прошивку, створити новий seed і обережно перевести кошти, стежачи за фішинговими спробами та підробленими повідомленнями підтримки.
Довгострокові питання будуть зосереджені на тому, скільки bitcoin було викрадено, чи зможуть слідчі встановити особу нападника, чи відіграла штучний інтелект будь-яку вирішальну роль у виявленні вразливості. Компанії, що виробляють апаратні гаманці, також під тиском будуть змушені посилити тестування ентропії, проводити аудит конфігурацій збірки та постійно перевіряти старий код за допомогою як людських експертів, так і адверсарних інструментів штучного інтелекту.