Coinkite ha emesso un avviso ai proprietari del suo portafoglio hardware Coldcard Mk3: qualsiasi seed Bitcoin generato da marzo 2021 potrebbe essere vulnerabile a causa di un difetto scoperto che potrebbe rendere prevedibili tali seed. I dispositivi Coldcard sono commercializzati specificamente per l'archiviazione a freddo esclusivamente Bitcoin con sicurezza air-gapped, rendendo un difetto di prevedibilità dei seed particolarmente significativo per gli utenti che hanno scelto il prodotto per il suo modello di sicurezza rafforzato. L'annuncio è coinciso con un grave incidente in cui circa 594 BTC—del valore di circa 38 milioni di dollari—sono stati drenati da circa 500 portafogli.

Modelli Interessati e Non Interessati

La vulnerabilità è relativa al firmware, non all'hardware. Secondo il team di ingegneria e sicurezza Bitcoin di The Block, la Mk1 non ha mai eseguito il codice difettoso. I dispositivi Mk2 e Mk3 con firmware versione 3.2.2 o successiva generavano inizialmente i seed correttamente utilizzando un generatore di numeri casuali hardware.

La vulnerabilità compare per la prima volta nella versione firmware 4.0.0. Qualsiasi seed Mk2 o Mk3 creato utilizzando le versioni firmware dalla 4.0.0 alla 4.1.9 rientra in un "percorso vulnerabile confermato," poiché il dispositivo non effettuava il reseed della propria fonte di casualità in modo sicuro. Coinkite estende questo avviso fino alla versione firmware 5.0.3, l'ultima versione di firmware che supporta la Mk3.

Inizialmente, Coinkite ha dichiarato che solo la Mk3 era interessata, mentre i modelli più recenti—Mk4, Q e Mk5—erano descritti come "non interessati in base alla nostra analisi preliminare." Tuttavia, in una successiva comunicazione, l'azienda ha riconosciuto che anche questi modelli più recenti generano seed con soli 72 bit di entropia invece dei 128 bit originariamente previsti, sebbene attraverso un meccanismo diverso a causa del loro design distinto. Secondo The Block, Mk4, Q e Mk5 attingono entropia da un secure element ma ne mantengono solo quattro byte, il che limita il numero di possibili percorsi di generazione dei seed.

Coinkite ha confermato che i suoi prodotti Tapsigner, Opendime e Satscard utilizzano codebase completamente diverse e rimangono non interessati.

Il Drenaggio da 38 Milioni di Dollari

Lo sfruttamento si è sviluppato rapidamente. Venerdì, circa 500 portafogli—ciascuno contenente più di 0.15 BTC—sono stati drenati tra le 01:31 e le 01:56 UTC. Molti di questi portafogli erano inattivi da anni, con attività delle monete risalente al periodo tra il 2021 e il 2026.

Rob Hamilton, CEO di AnchorWatch, ha riferito su X di aver tracciato 1.324 output spesi in 500 transazioni distribuite su tre blocchi, con 562 BTC successivamente consolidati in un unico indirizzo.

Il totale potrebbe essere superiore. L'ingegnere di Block Clay Garrett ha identificato altre 695 transazioni recanti la stessa firma dei furti confermati, che hanno collettivamente spostato circa 488.1 BTC. Se tutte le transazioni collegate fossero incluse, il totale combinato potrebbe raggiungere circa 1.082 BTC. Coinkite non ha ancora verificato se il drenaggio dei portafogli sia stato causato dal difetto del firmware.

Cause Tecniche alla Radice

La generazione sicura di numeri casuali è Fondazionale per tutta la sicurezza delle chiavi crittovalutarie; quando fallisce, i seed possono potenzialmente essere derivati da informazioni pubblicamente osservabili, facendo collassare l'intero modello di sicurezza. The Block ha rintracciato il problema in una configurazione del firmware che disabilitava il generatore di numeri casuali hardware della Mk3. Una libreria utilizzata insieme al firmware verificava solo la presenza dell'impostazione di configurazione—non se fosse attivata o disattivata. Di conseguenza, la generazione delle chiavi è tornata a un metodo basato su software che si affidava a valori pubblicamente noti, inclusi il numero di serie del dispositivo e i registri di clock.

Coinkite ha rintracciato il problema fino a un commit di codice datato 1 marzo 2021, incorporato per la prima volta nella versione firmware 4.0.0. L'azienda ha dichiarato di aver divulgato la vulnerabilità prima di completare i test completi perché "è in corso uno sfruttamento attivo."

Azioni Consigliate per i Proprietari

Le indicazioni di Coinkite dipendono da come ciascun portafoglio era configurato. Secondo la valutazione preliminare dell'azienda, gli utenti che hanno utilizzato una passphrase BIP-39 separata in aggiunta a un PIN affrontano un rischio molto ridotto di perdere fondi—purché la passphrase non sia mai stata inserita in uno smartphone, computer o sito web.

Tutti gli altri utenti sono invitati a spostare i propri fondi. Coinkite consiglia di creare un nuovo seed su un dispositivo non infetto, verificare che gli indirizzi di backup e di ricezione siano corretti, inviare prima una piccola transazione di prova e poi trasferire il saldo rimanente.

L'azienda descrive anche un metodo avanzato con lancio di dadi che aggira completamente il generatore di numeri casuali del dispositivo. Tuttavia, Coinkite sconsiglia agli utenti di agire in fretta, facendo notare che gli errori durante il recupero potrebbero causare più danni della vulnerabilità stessa.

Prospettive di Recupero

Il recupero dei Bitcoin rubati non è considerato possibile. Le transazioni Bitcoin sono irreversibili per design, e sebbene il registro pubblico della blockchain renda i fondi rubati tracciabili in linea di principio, gli aggressori utilizzano frequentemente servizi di mixing o altre tecniche per offuscare i flussi. L'incidente sottolinea l'importanza di valutare i portafogli hardware sulla base di criteri verificabili quali audit di sicurezza indipendenti, firmware riproducibile, certificazioni, pratiche di divulgazione e risposta alle vulnerabilità—fattori particolarmente rilevanti all'indomani dell'incidente Coldcard Mk3.