Galaxy Research ha identificato una terza ondata sospetta di attacchi contro indirizzi Bitcoin che si ritiene siano stati generati da firmware vulnerabile di Coldcard, portando la stima totale dei fondi drenati a 1.367,05 BTC attraverso 4.585 indirizzi.

Coldcard, prodotta da Coinkite, è uno dei wallet hardware Bitcoin air-gapped più diffusi, commercializzato specificamente per gli utenti che privilegiano la sicurezza dell'autocustodia. Il dispositivo è progettato per generare e conservare le chiavi private interamente offline, rendendo la qualità del generatore interno di numeri casuali un presupposto di sicurezza fondamentale anziché un livello tra i tanti.

L'ultima ondata ha drenato 207,7294 BTC, portando il totale combinato osservato a circa 88,6 milioni di dollari al momento dell'aggiornamento di Galaxy.

La terza ondata presenta un pattern di transazione diverso

Le prime due ondate di attacco sospette hanno mostrato pattern on-chain simili. Entrambe utilizzavano una struttura a imbuto che consolidava i fondi in un piccolo numero di indirizzi collettori condivisi e si basavano su destinazioni pay-to-witness-public-key-hash (P2WPKH).

Al contrario, la terza ondata ha impiegato destinazioni pay-to-witness-script-hash (P2WSH) e ha raggruppato una media di 6,37 indirizzi vittima per transazione. Queste differenze possono indicare che lo stesso attaccante ha adottato nuovi strumenti o, in alternativa, che un operatore separato sta sfruttando la stessa vulnerabilità nella generazione degli indirizzi.

Galaxy non ha confermato in modo indipendente che ogni indirizzo interessato abbia avuto origine dal processo difettoso di generazione di numeri casuali di Coldcard. I risultati dell'azienda rappresentano una stima on-chain anziché una prova definitiva che tutte e tre le ondate derivino da un unico attaccante o da un unico gruppo di dispositivi vulnerabili.

Il totale aggiornato supera la stima precedente di fino a 1.083 BTC che era stata tracciata dopo che Block e Coinkite hanno divulgato per la prima volta la vulnerabilità nella generazione dei seed.

Coinkite amplia l'elenco dei dispositivi interessati

L'advisory di sicurezza aggiornata di Coinkite ora copre i seed Mk2 e Mk3 generati con firmware dalla versione 4.0.1 alla 4.1.9, nonché i seed Mk4 e Mk5 creati prima del firmware standard 5.6.0 o del firmware Edge 6.6.0X. Anche i seed di Coldcard Q generati prima della versione standard 1.5.0Q o della versione Edge 6.6.0QX sono interessati.

Coinkite stima che i seed vulnerabili Mk4, Mk5 e Q contenessero circa 72 bit di entropia anziché i 128 bit previsti. Lo standard previsto di 128 bit corrisponde a circa 3,4 × 10^38 combinazioni possibili — uno spazio delle chiavi considerato computazionalmente inattaccabile con forza bruta. A circa 72 bit, lo spazio di ricerca effettivo si riduce a circa 4,7 × 10^21 possibilità, una riduzione che pone i seed interessati alla portata pratica di attaccanti determinati che utilizzano risorse di calcolo moderne.

Sono disponibili firmware corretti per ogni modello interessato, ma l'installazione di un aggiornamento non ripara un seed già creato con firmware vulnerabile. L'importazione della stessa frase di recupero in un wallet diverso lascia i fondi ugualmente esposti.

I seed integrati con almeno 50 lanci di dadi equi, indipendenti e privati non sono considerati vulnerabili attraverso solo questa falla nella casualità. Una passphrase BIP-39 forte e unica offre un ulteriore livello di protezione, sebbene Coinkite raccomandi comunque agli utenti interessati di migrare completamente i propri fondi.

Block riconduce il difetto RNG a marzo 2021

L'indagine tecnica di Block ha ricondotto la vulnerabilità a una modifica del firmware di marzo 2021 che ha portato la libreria di generazione di numeri casuali di Coldcard a ripiegare su una routine deterministica MicroPython invece di utilizzare il generatore hardware STM32 del dispositivo.

Il firmware Mk2 e Mk3 versione 4 non aggiungeva alcuna entropia crittografica a quel fallback. I dispositivi più recenti incorporavano input dal secure element, ma mantenevano solo quattro byte durante il reseed, limitando i flussi di output sicuramente distinguibili a non più di 2^32 — circa 4,3 miliardi di possibilità — in condizioni di fallback fisse.

La divulgazione segue i commenti di ZachXBT, che in precedenza aveva definito i wallet hardware "garbage" e raccomandato l'uso di un iPhone dedicato per la conservazione di criptovalute. Le sue osservazioni riguardavano rischi operativi e software di wallet più ampi e non identificavano specificamente il difetto di entropia di Coldcard.

Si consiglia agli utenti interessati di installare il firmware corretto prima di generare un seed sostitutivo, verificare il nuovo backup e l'indirizzo di ricezione, inviare una piccola transazione di test e trasferire il saldo rimanente solo dopo aver confermato che i fondi di test siano arrivati.