Помилка в прошивці, яка залишалася непоміченою роками, призвела до одного з найбільших крадіжок апаратних гаманців bitcoin за останні місяці. Більше ніж 1 082 BTC, що становить близько 70 мільйонів доларів США, тихо було вкрадено з більше ніж 1 100 гаманців, перш ніж виробник гаманця публічно попередив користувачів про проблему з безпекою.
Стара помилка прошивки дозволила хакеру відтворити ключі гаманця bitcoin
За даними дослідження Galaxy Research, нападник вивів кошти з 1 196 адрес bitcoin між 01:10 і 01:51 UTC 30 липня, порожняючи близько 1 082,65 BTC за лише 41 хвилину. Напад відбувся майже за 30 годин до того, як виробник гаманців Coinkite публічно попередив користувачів, що певні пристрої Coldcard можуть бути вразливими.
Замість прямого хакування пристроїв дослідники вважають, що нападник відтворив приватні ключі гаманця в автономному режимі, використовуючи слабкість у тому, як деякі гаманці Coldcard генерували seed-фрази відновлення.
Атака була спрямована на гаманці, створені на пристроях Coldcard Mk3 з версіями прошивки 4.0.1 через 5.0.3, які були випущені у березні 2021 року.
Galaxy Research зазначила, що кожна транзакція використовувала незвично високу комісію 30 сат/вБ і не залишала виводу зміни, що свідчить про те, що нападник вже мав приватні ключі і просто автоматизував виведення коштів.
Як вразливість Coldcard погіршила безпеку гаманця
Дослідники з безпеки пояснили, що проблема почалася з оновленням прошивки, випущеним у 2021 році.
Апаратні гаманці зазвичай генерують фрази відновлення за допомогою спеціалізованого апаратного генератора випадкових чисел, що робить ключі гаманця майже неможливими для вгадування. Однак інженери з Block found виявили, що помилка в коді випадково вимкнула цей апаратний випадковий генератор на вразливих пристроях.
Замість цього гаманці опиралися на програмний генератор випадкових чисел, що використовував передбачувану інформацію, таку як серійний номер пристрою та внутрішній годинник.
Це зменшило ефективну безпеку seed-фраз гаманця з очікуваних 128 біт ентропії до приблизно 40 біт на вплинутих пристроях Mk3, що зробило можливими масштабні атаки методом підбору за допомогою сучасних обчислювальних потужностей.
Coinkite пізніше розширила попередження, щоб включити певні версії прошивки Mk4, Mk5 та Coldcard Q, де ентропія була зменшена до приблизно 72 біт, хоча компанія зазначила, що новіша архітектура апаратного забезпечення значно зменшила загальний ризик.
Мільйони біткoinів залишаються замороженими
Вкрадений bitcoin швидко був консолідований у кілька гаманців, при цьому дослідники виявили один адрес, на якому зберігається більше ніж 562 BTC. Інші гаманці містять 398 BTC, 89 BTC та 32 BTC, причому жодні з коштів не рухалися після консолідації.
Coinkite закликає всіх, хто створив фразу для відновлення на впливаній прошивці, негайно переказати кошти до нового гаманця, створеного за допомогою останньої прошивки.
Компанія також зазначила, що користувачі, які захистили свої гаманці додатковим BIP-39 паролем, мають значно нижчий ризик, оскільки додатковий пароль додає ще один рівень безпеки поза скомпрометованим сідом.
Експерти з безпеки вважають, що нападник, ймовірно, заздалегідь згенерував мільйони можливих ключів гаманців і просто чекав, поки відповідні гаманці з’являться в мережі Bitcoin, попереджаючи, що додаткові вразливі гаманці все ще можуть перебувати під загрозою, якщо власники не перенесуть свої кошти.