Grave falla nei wallet Bitcoin drena 594 BTC in un prelievo in 25 minuti

Un bug di casualità di Coldcard ha trasformato seed “impossibili da indovinare” in seed indovinabili — e $38 million sono già spariti.

Un attaccante ha sfruttato una falla nel modo in cui alcuni hardware wallet Coldcard generavano le chiavi crittografiche, sottraendo circa 594 bitcoin — per un valore di circa $38 million — da circa 500 wallet a firma singola in meno di 30 minuti. I guasti nella generazione di numeri casuali sono tra le classi più insidiose di vulnerabilità delle criptovalute: i wallet continuano a funzionare normalmente, i fondi sembrano al sicuro e non compare alcun errore visibile — ma chiunque individui la falla può calcolare in silenzio le chiavi private e svuotare i fondi a piacimento, talvolta anni dopo.

La vulnerabilità, introdotta nel firmware Coldcard 4.0.0 nel marzo 2021, ha causato nei dispositivi interessati il bypass del generatore di casualità hardware e il passaggio a una generazione di chiavi software prevedibile, basata su dati del chip non segreti.

Coinkite, il produttore canadese di Coldcard, ha avvisato gli utenti che hanno creato seed su dispositivi Mk3 con firmware versione 4.0.1 o successiva. L'azienda ha sottolineato che i modelli Mk4, Q e Mk5 sembrano non essere interessati, in base a un'analisi iniziale. Il furto ha avuto un impatto visibile limitato sul prezzo di mercato di bitcoin.

Come si è sviluppato l'attacco

Circa 594 bitcoin, per un valore di circa $38 million, sono stati sottratti da circa 500 wallet separati tra le 01:31 e le 01:56 UTC di venerdì. L'attacco è stato ricondotto alla falla nella generazione delle chiavi di Coldcard.

Il furto ha trasferito 1,324 frammenti di bitcoin attraverso 500 transazioni in una finestra di tre blocchi. Del totale, 562 BTC sono stati consolidati in un unico indirizzo che da allora non si è mosso. L'indirizzo di consolidamento può essere consultato su mempool.space.

Ogni wallet svuotato era a firma singola e conteneva più di 0.15 BTC. Molti wallet erano rimasti inattivi per anni, con monete risalenti al periodo tra il 2021 e il 2026 — quasi perfettamente in linea con la data di introduzione della falla.

La causa alla radice

Coldcard è un hardware wallet realizzato da Coinkite, un dispositivo автономo progettato per conservare offline le chiavi private di bitcoin, isolato dai computer connessi a Internet. Mk2, Mk3, Mk4, Q e Mk5 sono generazioni successive del prodotto, rilasciate nell'arco di diversi anni.

L'esposizione dipende dalla versione del firmware in esecuzione sul dispositivo nel momento in cui il seed del wallet è stato creato per la prima volta — non dal momento in cui l'hardware è stato acquistato.

Il seed di un wallet, la frase segreta di recupero che controlla i fondi, dovrebbe essere estratto casualmente da un insieme di possibilità astronomicamente vasto, rendendo il tentativo di indovinare con forza bruta computazionalmente impraticabile. Il firmware di Coldcard, però, non raggiungeva questo standard.

Secondo un rapporto pubblicato dai team di ingegneria e sicurezza Bitcoin di Block, un'impostazione di compilazione indicava al dispositivo di saltare il proprio generatore di casualità hardware dedicato. Un controllo in una libreria di supporto verificava solo l'esistenza di quell'impostazione — non se fosse effettivamente attivata.

Di conseguenza, la generazione delle chiavi passava silenziosamente a un sostituto software di base, inizializzato con il numero di serie del chip e i registri dell'orologio. Nessuno di questi valori costituisce un segreto: il numero di serie è metadato di fabbrica fisso, mentre i valori dell'orologio sono stati temporali che un attaccante può restringere o misurare su un dispositivo proprio.

Block ha ricondotto la modifica a un commit datato 1 marzo 2021, distribuito nel firmware 4.0.0 nello stesso mese. Questa modalità di guasto richiama un noto incidente del 2013, in cui una falla nell'implementazione SecureRandom di Android permise agli attaccanti di prevedere le chiavi private dei wallet Bitcoin generate su dispositivi Android interessati, spingendo gli sviluppatori di wallet a emettere avvisi urgenti.

Divulgazione e risposta

Coinkite ha diffuso un avviso sul proprio blog ufficiale, consigliando agli utenti che hanno generato un seed su un Mk3 con versione 4.0.1 o successiva di intervenire. L'azienda ha dichiarato: "Mk4, Q and Mk5 are not affected based on our early analysis." La procedura standard per gli utenti interessati è generare immediatamente un nuovo seed su un dispositivo con firmware non interessato e trasferire tutti i fondi al nuovo wallet.

Block ha affermato di aver comunicato i propri risultati direttamente a Coinkite, il cui team ha riconosciuto la vulnerabilità. Entrambe le aziende descrivono le rispettive analisi come preliminari. Block ha osservato di aver pubblicato il rapporto senza completare test completi di sfruttabilità, perché lo sfruttamento era già in corso.

Ambito oltre i seed dei wallet

L'esposizione si estende oltre i seed standard dei wallet. Lo stesso generatore di numeri casuali difettoso è stato utilizzato anche per produrre le chiavi private dei paper wallet di Coldcard — dove l'output diventa direttamente la chiave senza ulteriore derivazione — oltre che i mask per la suddivisione dei seed, le chiavi di clonazione del dispositivo e i trasferimenti Key Teleport. L'ampiezza delle funzioni interessate significa che anche gli utenti che hanno fatto affidamento su una di queste funzioni su un dispositivo Mk3 interessato potrebbero essere esposti, anche se non hanno mai usato un seed standard del wallet.

Bitcoin ha scambiato sopra $64,000 nelle prime ore di contrattazione asiatica, con il prelievo diffuso che sembra aver avuto un impatto minimo sul mercato più ampio.

Source: CoinDesk