Coinkite, produttore del portafoglio hardware Coldcard, ha rilasciato un importante aggiornamento del firmware di sicurezza dopo che degli aggressori hanno sfruttato la debole generazione dei seed per sottrarre oltre 1.778 BTC da migliaia di indirizzi Bitcoin, con stime precedenti che collocavano l'attacco complessivo vicino ai 130 milioni di dollari.

Il rilascio del 20 agosto introduce il firmware 5.6.1 per i dispositivi Mk4 e Mk5 e la versione 1.5.1Q per la Q, dopo tre settimane di revisione della sicurezza successive all'hotfix del 31 luglio. Con il nuovo processo di generazione dei seed, ogni nuovo seed richiede che gli utenti contribuiscano con la propria casualità attraverso almeno 65 pressioni di tasti con tempistica imprevedibile, 50 lanci fisici di dadi o 128 lanci fisici di monete.

Gli utenti i cui seed sono stati generati su firmware interessato tra marzo 2021 e luglio 2026 devono comunque creare un nuovo seed e trasferire i propri Bitcoin. L'installazione del firmware più recente non ripara una frase di recupero creata con entropia insufficiente, motivo per cui l'aggiornamento è importante anche per gli utenti che non hanno riscontrato alcun problema con il proprio dispositivo.

Coldcard aggiunge la casualità dell'utente e nuovi controlli in fase di firma

Il processo di generazione dei seed aggiornato combina l'input dell'utente con nuova entropia proveniente dal generatore hardware di numeri casuali STM32 di Coldcard e da entrambi gli elementi sicuri del dispositivo. Coinkite ha inoltre sostituito il proprio generatore pseudo-casuale di backup Yasmarang con SHA-256 Hash_DRBG e ha aggiunto controlli all'avvio progettati per fermare il dispositivo se non viene raggiunto il percorso hardware previsto per l'RNG.

La falla originale nella generazione dei seed derivava da un firmware introdotto nel 2021. I seed interessati di Mk2 e Mk3 potevano contenere solo circa 40 bit di entropia effettiva, mentre i successivi dispositivi Mk4, Mk5 e Q potevano scendere a circa 72 bit anziché ai 128 previsti. Questa debolezza permetteva agli aggressori di ricostruire offline seed candidati e confrontare gli indirizzi derivati con la blockchain di Bitcoin senza dover rubare il dispositivo fisico o la frase di recupero.

Coldcard ha anche aggiunto un secondo controllo delle transazioni Bitcoin parzialmente firmate immediatamente prima della firma. Una transazione modificata da un computer compromesso collegato via USB dopo che l'utente l'ha esaminata verrà ora interrotta con un avviso "Transaction modified" (transazione modificata). Il rilascio rafforza inoltre l'accesso USB, la validazione del firmware, l'isolamento della Delta Mode, i backup del portafoglio e la gestione dei guasti dell'RNG.

Le perdite confermate su Coldcard raggiungono 1.778 BTC

Il furto si è inizialmente ampliato attraverso diverse ondate d'attacco distinte. Una successiva terza ondata ha portato il totale osservato oltre 1.367 BTC prima che venissero identificate altre vittime e ulteriori impronte degli aggressori.

Entro il 14 agosto, Galaxy Research aveva contattato direttamente 190 vittime e attribuito, con alta confidenza, 1.778,84 BTC del valore di 112,7 milioni di dollari a più di 8.600 indirizzi. Tale cifra esclude le attività a confidenza media, tra cui una sospettata quarta ondata; aggiungendo quei furti candidati, il totale potenziale salirebbe a 2.417,35 BTC, del valore di circa 153 milioni di dollari all'epoca.

La precedente stima delle perdite, vicina ai 132 milioni di dollari, è emersa quando Galaxy ha identificato almeno 15 aggressori che sfruttavano lo stesso problema dei seed deboli. Nessuna nuova impronta d'attacco confermata è stata datata dopo il 6 agosto, sebbene altre vittime abbiano continuato a segnalare perdite precedenti.

Circa 1.531 BTC dell'insieme dei furti ad alta confidenza risultavano ancora fermi secondo l'ultima analisi di Galaxy. Circa 246 BTC si erano mossi in seguito, di cui circa il 65% dell'importo entrato in transazioni CoinJoin.

Le forze dell'ordine indagano mentre gli utenti migrano i Bitcoin

Coinkite ha dichiarato che le autorità competenti stanno indagando sui furti e lavorando per identificare i responsabili. Galaxy ha fornito gli indirizzi degli aggressori a forze dell'ordine, borse e società di investigazione per supportare la tracciabilità e un eventuale intervento qualora i Bitcoin rubati raggiungano servizi centralizzati.

L'exploit ha inoltre accelerato una revisione più ampia del software Bitcoin. Il Bitcoin Red Team ha recentemente prodotto migliaia di risultanze di sicurezza in centinaia di progetti open source utilizzando ricercatori umani e analisi assistita dall'IA, mentre Coinkite si è avvalso di ricercatori esterni e di modelli di IA durante la propria revisione del firmware durata tre settimane.

Gli utenti Coldcard interessati dovrebbero prima installare il firmware corretto, generare e verificare un seed completamente nuovo, confermare un indirizzo di ricezione e poi trasferire i Bitcoin on-chain. Importare la vecchia frase di recupero in un altro portafoglio lascia invariato il seed vulnerabile.

Coinkite attualmente consiglia il firmware 5.6.1 per Mk4 e Mk5 e la versione 1.5.1Q per Q. Gli utenti di Mk2 e Mk3 necessitano della versione 4.2.0 o successiva, e ogni seed interessato deve comunque essere sostituito separatamente rispetto all'aggiornamento del firmware.