Galaxy: Вада RNG у Coldcard призводить до втрати ≥1 596 BTC, збитки можуть досягти ~$130 млн

Galaxy Research зараз повідомляє, що баг у апаратному гаманці Coldcard вже коштував користувачам щонайменше 1 596 BTC — а загальна втрата може зростати до приблизно 2 055 BTC (близько $130 млн), якщо підтвердиться підозрювана четверта хвиля крадіжок. У дописі на X Galaxy повідомила, що вона відстежила 1 596 BTC, вкрадених з приблизно 7 300 адрес у трьох підтверджених хвилях атак, а також 14 менших пов’язаних інцидентів. Фірма відкладає підозрювану четверту хвилю з підтверджених даних, поки звіти жертв не підтвердять сигнали у блокчейні; якщо ця активність буде пов’язана з тим самим експлойтом, загальна втрата досягне приблизно 2 055 BTC. Як Galaxy прийшла до цих цифр: - Он-чейн-картування Galaxy виявило 1 596 BTC у трьох підтверджених хвилях. Раніше, більш широкий аналіз лише блокчейну оцінював рух у чотирьох хвилях на рівні близько 1 815,75 BTC, але фірма звузила свою підтвердженну оцінку, зберігаючи більшу, ще неверифіковану цифру, пов’язану з підозрюваною четвертою хвилею. - Аналітики Galaxy виявили потенційну четверту хвилю 3 серпня, помітивши шаблони транзакцій, схожі на попередні атаки. Їхня поточна оцінка цієї підозрюваної хвилі зросла до приблизно 448,7 BTC з 709 можливих жертв, хоча вони підкреслюють, що одних лише доказів у блокчейні недостатньо для підтвердження кожної жертви чи того, чи всі крадіжки були здійснені одним оператором. - Активність у блокчейні свідчить, що підозрювана четверта хвиля «суттєво складається» з одного нападника, що надає Galaxy середню–високу впевненість у цьому висновку, поки вони чекають на прямі підтвердження. Що це за вразливість: Coinkite — виробник пристроїв Coldcard — розкрила цю вразливість на тиждень раніше і встановила, що вона пов’язана з зміною у прошивці з березня 2021 року. Під час інтеграції нової криптографічної бібліотеки шлях генерації seed-фрази випадково перейшов на детермінований псевдовипадковий генератор, наданий MicroPython, замість апаратного генератора справжніх випадкових чисел. Оскільки апаратний RNG все ще з’являвся в інших частинах прошивки, поверхневі внутрішні перевірки не помітили переключення джерела ентропії. Незалежний огляд: Команда з інженерних робіт і безпеки Bitcoin в Block незалежно перевірила прошивку і прийшла до того ж висновку: вразлива прошивка використовувала детермінований запасний варіант MicroPython для створення seed-фраз замість апаратного RNG STM32. Coinkite оцінює ефективну ентропію для пошкоджених пристроїв набагато нижче бажаного рівня — приблизно 40 біт для деяких моделей Mk2/Mk3 і близько 72 біт для вразливих моделей Mk4/Mk5 та Coldcard Q, поруч із бажаними 128 бітами. Поведінка нападу та статус розслідування: - Galaxy повідомляє, що більшість вкрадених балансів були розподілені між багатьма новоствореними адресами, а не консолидовані в одну колекторську гаманець; деякі кошти пізніше пересилалися через другу ланку транзакцій, що ускладнює відстеження. Під час підозрюваної четвертої хвилі Galaxy зафіксувала зростання активності нападу до приблизно 13,8 обходжень гаманця на один блок Bitcoin поруч із приблизно 0,3 обходженнями на блок раніше. - Приблизно 90% вкрадених BTC залишаються незатронутими у блокчейні, і жоден з коштів, вкрадених у перших трьох підтверджених хвилях, не рухався з моменту крадіжки — це дає дослідникам час для мониторингу та реагування. - Galaxy спрацьовує з федеральними правоохоронними органами США, криптовалютними біржами та групами киберрозслідувань і додає підтверджені адреси нападників і жертв по мірі розширення розслідування. Фірма попереджає, що інші нападники можуть спробувати експлуатувати ту саму вразливість, поки пошкоджені гаманці залишаються у використанні, тому ідентифiкацiя адрес, що контролюються нападниками, є критично важливою, щоб біржi та органи могли дiяти, якщо кошти почнуть рухатися. Рекомендацiї для постраждалих користувачiв: Galaxy та Coinkite рекомендують користувачам Coldcard перенести кошти з будь-яких гаманцiв, створених за допомогою вразливої прошивки, на новi безпечнi адреси та створити абсолютно новi seed-фрази лише пiсля застосування оновленої прошивки. Coinkite опублiкувала аварiйнi оновлення прошивки для всiх пошкоджених моделей (наприклад, v4.2.0 для Mk2/Mk3, v5.6.0 для Mk4/Mk5 та v1.5.0Q для Coldcard Q) і заявила, що знищила залишки інвентарю з вразливою прошивкою. Важливi застереження вiд Coinkite: - Встановлення оновлення захищає лише гаманцi, створенi пiсля виправлення прошивки; існуючi seed-фрази, створенi за допомогою вразливої прошивки, залишаються пiд загрозою і повиннi бути замiненi. - Coinkite рекомендує створити повнiстю нову seed-фразу на оновленому пристрої, перевiрити адресу отримання, надiслати невеликий тестовий переказ та перенести повний баланс лише пiсля успiшного проходження тесту. - Гаманцi, створенi за допомогою принаймнi 50 справедливих кидкiв приватних кубикiв, не є вразливими до цього бага RNG окремо, а сильний BIP-39 пароль забезпечує додаткову безпеку — але Coinkite все одно рекомендує мiграцiю, оскiльки початковий матерiал seed-фрази залишається слабким. Іншi зауваження щодо вiдновлення: Galaxy ранiше зазначала, що користувачi, якi бачать неподтверджений переказ крадiжки, можуть мати обмежений шанс замiнити його за допомогою механiзму Bitcoin Replace-by-Fee (RBF), але цей варiант дiє лише до того моменту, поки оригiнальна транзакцiя не буде майнена, і не гарантує вiдновлення. Причина: Цей інцидент — чудове нагадування про те, що помилки на рівні прошивки можуть поганити безпеку апаратних гаманців. Якщо у вас є пристрой Coldcard, перевірте свою прошивку, припустите, що будь-які seed-фрази, створені на вразливих версиях, скомпрометовано, і перенесите кошти лише після застосування фiks Coinkite та дотримання їхнього чек-лайста мiграцiї. Поступове картування Galaxy та спiвпраця з правоохоронними органами спрямованi на вiдстеження адрес нападникiв та обмеження подальших втрат по мiрi продовження розслiдування.