Cacat lima tahun pada generasi seed Coldcard telah memperbarui seruan untuk pengujian independen firmware dompet perangkat keras setelah dugaan serangan telah menguras Bitcoin senilai hampir $90 juta dari ribuan dompet.
Chief Security Officer Kraken Nick Percoco mengatakan dalam sebuah postingan di X pada hari Minggu bahwa insiden tersebut harus menjadi peringatan bagi industri dompet perangkat keras, dengan alasan bahwa produsen seharusnya bukan satu-satunya pihak yang memverifikasi bagaimana frasa seed dompet dihasilkan.
Dia mengatakan firmware produksi harus menjalani pengujian independen untuk mengkonfirmasi bahwa sumber keacakan yang disetujui adalah yang benar-benar digunakan saat membuat rahasia dompet.
Menurut analisis blockchain terbaru dari Galaxy Research, para penyerang yang dicurigai kini telah menyapu lebih dari 1.800 BTC dari lebih dari 5.200 alamat korban potensial di empat gelombang serangan yang diamati, meskipun perusahaan menekankan bahwa angka-angka tersebut adalah perkiraan on-chain daripada kerugian yang dikonfirmasi. Coinkite belum memverifikasi setiap dompet yang terdampak, dan data blockchain saja tidak dapat menentukan apakah satu aktor melakukan semua serangan tersebut.
Coinkite mengungkapkan pada hari Kamis bahwa kerentanan tersebut berasal dari Maret 2021, ketika perusahaan memigrasi sebagian firmware-nya saat mengintegrasikan pustaka kriptografi baru.
Alih-alih menggunakan generator angka acak sejati berbasis perangkat keras yang dimaksudkan Coldcard untuk membuat seed dompet, firmware yang diperbarui secara tidak sengaja memanggil generator pseudo-acak deterministik yang lebih lemah yang disediakan oleh MicroPython.
Menurut postmortem Coinkite, generator angka acak yang dimaksudkan tetap aktif di bagian lain firmware, memungkinkan tinjauan kode untuk memverifikasi keberadaannya tanpa mengungkapkan bahwa pembuatan dompet bergantung pada sumber entropi yang berbeda.
Perusahaan mengatakan tidak menyadari bahwa generator MicroPython ada di jalur kode yang relevan sampai penyelidikan. Sementara generator angka acak perangkat keras terus beroperasi untuk fungsi lain, ia tidak lagi bertanggung jawab untuk menghasilkan rahasia dompet baru.
Tim teknik dan keamanan Bitcoin Block secara independen mencapai kesimpulan yang sama selama tinjauan teknisnya. Perusahaan mengatakan firmware yang terpengaruh memanggil fallback deterministik MicroPython alih-alih generator angka acak perangkat keras STM32 saat membuat seed dompet. Meskipun Block mengatakan belum menyelesaikan pengujian empiris penuh pada setiap perangkat, mereka memutuskan untuk mengungkapkan temuannya karena laporan pencurian aktif telah muncul.
Coinkite memperkirakan bahwa seed yang dibuat pada perangkat Mk2 dan Mk3 yang terdampak mungkin mengandung sekitar 40 bit entropi efektif, sementara model Mk4, Mk5, dan Q yang terdampak mungkin mengandung sekitar 72 bit, bukan 128 bit yang dimaksudkan.
Menggunakan insiden Coldcard sebagai contoh, Percoco berpendapat bahwa sertifikasi dompet perangkat keras telah mengabaikan salah satu bagian terpenting dari keamanan dompet.
Dia mengatakan pengguna saat ini harus percaya bahwa produsen menerapkan generasi seed dengan benar karena tidak ada proses independen yang memverifikasi bahwa firmware produksi benar-benar memanggil sumber entropi yang disetujui. Sertifikasi yang ada, termasuk evaluasi Common Criteria untuk elemen aman, tinjauan CSPN, dan audit yang disponsori vendor, tidak secara sistematis memvalidasi hubungan tersebut, menurut Percoco.
Untuk menggambarkan kesenjangan tersebut, ia menunjuk pada NIST SP 800-90B, standar AS yang mengatur desain dan validasi generator angka acak sejati yang digunakan dalam sistem kriptografi, bersama dengan kerangka BSI AIS-31 Jerman, yang menetapkan persyaratan pengujian serupa. Dia berpendapat bahwa verifikasi end-to-end yang sebanding saat ini tidak ada untuk dompet perangkat keras.
Percoco juga membandingkan sektor ini dengan keamanan pembayaran, mencatat bahwa perangkat input PIN tidak dapat dikirim tanpa pengujian laboratorium independen, sementara modul kriptografi pemerintah AS memerlukan validasi sumber entropi sebelum persetujuan.
Karena aktivitas serangan terus berlanjut selama akhir pekan, Coinkite mengatakan telah menghentikan semua pengiriman setelah mengkonfirmasi kerentanan dan menghancurkan setiap perangkat yang tersisa di fasilitasnya yang mengandung firmware yang terdampak.
Meskipun demikian, perusahaan menyarankan pelanggan untuk tidak membuang perangkat yang terdampak karena perangkat tersebut mungkin menjadi penting jika dana yang dicuri akhirnya pulih melalui proses hukum. Coinkite menambahkan bahwa tim hukumnya akan berkoordinasi dengan lembaga penegak hukum di beberapa yurisdiksi jika sesuai.
Pembaruan firmware telah dirilis untuk setiap model yang terdampak, termasuk versi 4.2.0 untuk Mk2 dan Mk3, versi 5.6.0 untuk Mk4 dan Mk5, versi 1.5.0Q untuk Coldcard Q, serta versi 6.6.0X dan 6.6.0QX untuk rilis Edge. Menurut perusahaan, menginstal firmware yang diperbarui hanya memperbaiki pembuatan dompet di masa mendatang dan tidak memperkuat frasa seed yang dihasilkan sebelum patch.
Karena alasan itu, pengguna yang termasuk dalam peringatan diinstruksikan untuk menghasilkan frasa seed yang sama sekali baru setelah memperbarui perangkat mereka, memverifikasi alamat penerima, mengirim transaksi uji coba kecil, dan memigrasi sisa saldo hanya setelah mengkonfirmasi transfer berhasil.
Coinkite mengatakan dompet yang dibuat menggunakan setidaknya 50 lemparan dadu yang adil dan pribadi tidak dianggap terpapar oleh cacat generasi angka acak saja. Perusahaan menambahkan bahwa frasa sandi BIP-39 yang kuat dan unik memberikan lapisan perlindungan lain tetapi tidak menghilangkan kelemahan dari seed yang sudah terdampak, yang berarti migrasi tetap menjadi tindakan yang direkomendasikan.
Analisis blockchain terpisah dari Galaxy Research menunjukkan bahwa serangan terus berlanjut sejak kerentanan tersebut dipublikasikan.
Alex Thorn, kepala penelitian di Galaxy, mengidentifikasi gelombang serangan terkoordinasi keempat yang dicurigai pada 3 Agustus, menjadikan total yang diamati perusahaan sekitar 1.815,75 BTC di 5.294 alamat korban potensial jika tidak ada kelompok alamat yang tumpang tindih. Thorn menggambarkan dompet tersebut sebagai "kemungkinan korban Coldcard" dan menekankan bahwa angka-angka tersebut berasal dari analisis blockchain daripada catatan perangkat yang dikonfirmasi atau temuan penegak hukum.
Galaxy juga melaporkan bahwa aktivitas serangan mencapai 13,8 pemindahan dompet per blok selama gelombang terbaru, dibandingkan dengan garis dasar 0,3 pemindahan per blok sebelum insiden tersebut. Perusahaan mengamati bahwa sebagian besar saldo korban dikirim ke alamat yang baru dibuat alih-alih dompet koleksi tunggal, sementara beberapa dana telah berpindah melalui transaksi hop kedua, membuat Bitcoin yang dicuri lebih sulit dilacak.
Menurut Galaxy, pengguna yang dananya dicuri masih berada dalam transaksi Bitcoin yang belum dikonfirmasi mungkin masih memiliki peluang kecil untuk menyiarkan transaksi pengganti dengan biaya lebih tinggi sebelum penambang mengkonfirmasi transfer asli.
Mengutip dokumentasi Bitcoin Core, perusahaan riset mencatat bahwa Replace-by-Fee hanya dapat dicoba saat transaksi tetap tidak terkonfirmasi dan tidak menjamin pemulihan bahkan ketika pemilik sah masih mengontrol kunci yang terpengaruh.
