Ang limang taong depekto sa pagbuo ng seed ng Coldcard ay muling nagtulak sa panawagan para sa independiyenteng pagsubok ng firmware ng hardware wallet matapos ang mga pinaghihinalaang pag-atake na nakapag-drain ng halos $90 milyon halaga ng Bitcoin mula sa libu-libong wallet.
Sinabi ni Nick Percoco, chief security officer ng Kraken, sa isang post sa X noong Linggo na ang insidente ay dapat magsilbing babala para sa industriya ng hardware wallet, na nagtutulak na hindi dapat ang mga manufacturer lamang ang nagve-verify kung paano ginagawa ang mga seed phrase ng wallet.
Aniya, ang production firmware ay dapat sumailalim sa independiyenteng pagsubok upang kumpirmahin na ang inaprubahang pinagmulan ng randomness ang siyang aktwal na ginagamit sa paggawa ng mga sikreto ng wallet.
Ayon sa pinakabagong pagsusuri ng blockchain ng Galaxy Research, nilimas na ngayon ng mga pinaghihinalaang umaatake ang mahigit 1,800 BTC mula sa mahigit 5,200 potensyal na address ng biktima sa apat na naobserbahang alon ng pag-atake, bagaman idiniin ng firm na ang mga numerong iyon ay on-chain estimates lamang at hindi kumpirmadong pagkalugi. Hindi pa nabe-verify ng Coinkite ang bawat apektadong wallet, at ang data ng blockchain lamang ay hindi makakapagtukoy kung isang aktor lang ang nagsagawa ng lahat ng pag-atake.
Isiniwalat ng Coinkite noong Huwebes na ang kahinaan ay nagsimula pa noong Marso 2021, nang ilipat ng kumpanya ang bahagi ng firmware nito habang isinasama ang isang bagong cryptographic library.
Sa halip na gamitin ang nilalayon ng Coldcard na hardware-backed true random number generator upang lumikha ng mga wallet seed, hindi sinasadyang tinawag ng na-update na firmware ang isang mas mahinang deterministic pseudo-random generator na ibinigay ng MicroPython.
Ayon sa postmortem ng Coinkite, nanatiling aktibo ang nilalayon na random-number generator sa ibang bahagi ng firmware, na nagpapahintulot sa code review na i-verify ang presensya nito nang hindi inilalantad na ang paggawa ng wallet ay umaasa sa ibang pinagmulan ng entropy.
Sinabi ng kumpanya na hindi nila alam na umiiral ang MicroPython generator sa nauugnay na code path hanggang sa imbestigasyon. Habang patuloy na gumagana ang hardware random-number generator para sa iba pang mga function, hindi na ito ang responsable sa pagbuo ng mga bagong sikreto ng wallet.
Ang Bitcoin engineering at security team ng Block ay independiyenteng nakarating sa parehong konklusyon sa kanilang teknikal na pagsusuri. Sinabi ng kumpanya na ang apektadong firmware ay gumamit ng deterministic MicroPython fallback sa halip na STM32 hardware random-number generator sa paggawa ng mga wallet seed. Bagaman sinabi ng Block na hindi pa nito nakumpleto ang buong empirical testing ng bawat device, nagpasya itong ibunyag ang mga natuklasan nito dahil lumitaw na ang mga ulat ng aktibong pagnanakaw.
Tinataya ng Coinkite na ang mga seed na ginawa sa apektadong Mk2 at Mk3 device ay maaaring naglalaman ng humigit-kumulang 40 bits ng epektibong entropy, habang ang apektadong Mk4, Mk5 at Q models ay maaaring naglalaman ng humigit-kumulang 72 bits sa halip na ang nilalayon na 128 bits.
Gamit ang insidente ng Coldcard bilang halimbawa, sinabi ni Percoco na ang sertipikasyon ng hardware wallet ay nakaligtaan ang isa sa pinakamahalagang bahagi ng seguridad ng wallet.
Sinabi niya na ang mga user ay kasalukuyang kailangang magtiwala na ang mga manufacturer ay tama ang pagpapatupad ng pagbuo ng seed dahil walang independiyenteng proseso ang nagve-verify na ang production firmware ay aktwal na tumatawag sa aprubadong pinagmulan ng entropy. Ang mga umiiral na sertipikasyon, kabilang ang Common Criteria evaluations para sa secure elements, CSPN reviews at vendor-sponsored audits, ay hindi sistematikong nagpapatunay sa ugnayang iyon, ayon kay Percoco.
Upang ilarawan ang kakulangan, itinuro niya ang NIST SP 800-90B, ang pamantayan ng U.S. na namamahala sa disenyo at pagpapatunay ng mga tunay na random-number generator na ginagamit sa mga cryptographic system, kasama ang BSI AIS-31 framework ng Germany, na nagtatakda ng katulad na mga kinakailangan sa pagsubok. Iginiit niya na walang kasalukuyang umiiral na maihahambing na end-to-end verification para sa mga hardware wallet.
Inihalintulad din ni Percoco ang sektor sa seguridad ng pagbabayad, na binanggit na ang mga device sa pag-input ng PIN ay hindi maaaring ipadala nang walang independiyenteng pagsubok sa laboratoryo, habang ang mga cryptographic module ng gobyerno ng U.S. ay nangangailangan ng validation ng entropy source bago aprubahan.
Habang patuloy ang aktibidad ng pag-atake sa katapusan ng linggo, sinabi ng Coinkite na pinahinto nito ang lahat ng pagpapadala matapos kumpirmahin ang kahinaan at sinira ang bawat natitirang device sa mga pasilidad nito na naglalaman ng apektadong firmware.
Gayunpaman, pinayuhan ng kumpanya ang mga customer na huwag itapon ang mga apektadong device dahil maaaring maging mahalaga ang mga ito kung ang mga ninakaw na pondo ay kalaunan ay mababawi sa pamamagitan ng legal na proseso. Idinagdag ng Coinkite na ang legal team nito ay makikipag-ugnayan sa mga ahensya ng pagpapatupad ng batas sa maraming hurisdiksyon kung kinakailangan.
Naipalabas na ang mga update sa firmware para sa bawat apektadong modelo, kabilang ang bersyon 4.2.0 para sa Mk2 at Mk3, bersyon 5.6.0 para sa Mk4 at Mk5, bersyon 1.5.0Q para sa Coldcard Q, at mga bersyon 6.6.0X at 6.6.0QX para sa Edge releases. Ayon sa kumpanya, ang pag-install ng updated na firmware ay nag-aayos lamang ng paggawa ng wallet sa hinaharap at hindi nagpapalakas ng mga seed phrase na nabuo bago ang patch.
Para sa kadahilanang iyon, ang mga user na sakop ng advisory ay inutusang gumawa ng ganap na bagong seed phrase matapos i-update ang kanilang mga device, i-verify ang isang receiving address, magpadala ng maliit na test transaction, at ilipat ang natitirang balanse pagkatapos lamang kumpirmahin na matagumpay ang paglilipat.
Sinabi ng Coinkite na ang mga wallet na ginawa gamit ang hindi bababa sa 50 fair, pribadong paggulong ng dice ay hindi itinuturing na nalantad sa random-number-generation flaw lamang. Idinagdag ng kumpanya na ang isang malakas at natatanging BIP-39 passphrase ay nagbibigay ng isa pang layer ng proteksyon ngunit hindi nito inaalis ang kahinaan mula sa isang apektadong seed na, ibig sabihin, ang paglilipat ay nananatiling inirerekomendang kurso ng aksyon.
Ang hiwalay na pagsusuri ng blockchain mula sa Galaxy Research ay nagpapahiwatig na nagpatuloy ang mga pag-atake mula nang maging pampubliko ang kahinaan.
Tinukoy ni Alex Thorn, pinuno ng pananaliksik sa Galaxy, ang isang pinaghihinalaang ikaapat na coordinated attack wave noong Agosto 3, na nagdala sa kabuuang naobserbahan ng firm sa humigit-kumulang 1,815.75 BTC sa 5,294 potensyal na address ng biktima kung walang nag-o-overlap sa mga grupo ng address. Inilarawan ni Thorn ang mga wallet bilang “posibleng mga biktima ng Coldcard” at idiniin na ang mga numero ay nagmula sa pagsusuri ng blockchain sa halip na kumpirmadong talaan ng device o mga natuklasan ng pagpapatupad ng batas.
Iniulat din ng Galaxy na umabot sa 13.8 wallet sweeps bawat block ang aktibidad ng pag-atake sa pinakabagong alon, kumpara sa baseline na 0.3 sweeps bawat block bago ang insidente. Napansin ng firm na karamihan sa mga balanse ng biktima ay ipinadala sa mga bagong likhang address sa halip na isang solong collection wallet, habang ang ilang pondo ay lumipat na sa pamamagitan ng second-hop transactions, na nagpapahirap sa pagsubaybay sa ninakaw na Bitcoin.
Ayon sa Galaxy, ang mga user na ang ninakaw na pondo ay nananatili sa hindi kumpirmadong Bitcoin transactions ay maaaring mayroon pa ring maliit na pagkakataon na mag-broadcast ng isang higher-fee replacement transaction bago kumpirmahin ng mga minero ang orihinal na paglilipat.
Binanggit ang dokumentasyon ng Bitcoin Core, sinabi ng research firm na ang Replace-by-Fee ay maaari lamang subukan habang ang transaksyon ay hindi pa kumpirmado at hindi ginagarantiya ang pagbawi kahit na kontrolado pa rin ng lehitimong may-ari ang mga apektadong key.
