Coinkite, producent portfela sprzętowego Coldcard, wydało dużą aktualizację oprogramowania zabezpieczającego po tym, jak atakujący wykorzystali słabe generowanie seedów, by ukraść ponad 1 778 BTC z tysięcy adresów Bitcoin, przy czym wcześniejsze szacunki określały skalę szerszego ataku na blisko 130 mln USD.

Wydanie z 20 sierpnia wprowadza firmware 5.6.1 dla urządzeń Mk4 i Mk5 oraz 1.5.1Q dla modelu Q, po trzech tygodniach przeglądu bezpieczeństwa następujących po poprawce krytycznej z 31 lipca. W nowym procesie generowania seedów każdy nowo utworzony seed wymaga, aby użytkownik dostarczył własną losowość poprzez co najmniej 65 naciśnięć klawiszy w nieprzewidywalnych odstępach czasu, 50 fizycznych rzutów kostką lub 128 fizycznych rzutów monetą.

Użytkownicy, których seedy zostały wygenerowane na dotkniętym problemem firmware w okresie od marca 2021 do lipca 2026 r., nadal muszą utworzyć nowy seed i przenieść swoje Bitcoiny. Zainstalowanie najnowszego firmware nie naprawia frazy odzyskiwania utworzonej z niewystarczającą entropią, dlatego aktualizacja ma znaczenie również dla użytkowników, którzy nie zauważyli żadnego problemu ze swoim urządzeniem.

Coldcard dodaje losowość od użytkownika i nowe kontrole podpisywania

Zaktualizowany proces generowania seedów łączy dane wprowadzane przez użytkownika ze świeżą entropią pochodzącą ze sprzętowego generatora liczb pseudolosowych STM32 Coldcard oraz obu bezpiecznych elementów urządzenia. Coinkite zastąpiło również zapasowy generator pseudolosowy Yasmarang rozwiązaniem SHA-256 Hash_DRBG i dodało kontrole uruchamiane podczas startu, mające zatrzymać urządzenie, jeśli nie zostanie osiągnięta zamierzona ścieżka sprzętowego generatora RNG.

Pierwotna wada generowania seedów wynikała z firmware wprowadzonego w 2021 roku. Dotknięte seedy na urządzeniach Mk2 i Mk3 mogły zawierać jedynie około 40 bitów efektywnej entropii, podczas gdy nowsze urządzenia Mk4, Mk5 i Q mogły zejść do około 72 bitów zamiast zamierzonych 128. Ta słabość pozwalała atakującym odtwarzać potencjalne seedy w trybie offline i porównywać wyprowadzone adresy z blockchainem Bitcoin bez kradzieży fizycznego urządzenia lub frazy odzyskiwania.

Coldcard dodał także drugą kontrolę przygotowanych częściowo podpisanych transakcji Bitcoin bezpośrednio przed podpisaniem. Transakcja zmodyfikowana przez zaatakowany komputer podłączony przez USB po jej sprawdzeniu przez użytkownika zostanie teraz zatrzymana z ostrzeżeniem „Transaction modified”. Wydanie dodatkowo zaostrza kontrolę dostępu USB, walidację firmware, izolację trybu Delta Mode, kopie zapasowe portfela oraz obsługę błędów RNG.

Potwierdzone straty Coldcard sięgają 1 778 BTC

Kradzieże początkowo rozprzestrzeniały się w kilku oddzielnych falach ataków. Kolejna, trzecia fala podniosła zaobserwowaną łączną kwotę powyżej 1 367 BTC, zanim zidentyfikowano kolejne ofiary i ślady atakujących.

Do 14 sierpnia Galaxy Research skontaktowało się bezpośrednio ze 190 ofiarami i z wysokim poziomem pewności przypisało 1 778,84 BTC o wartości 112,7 mln USD do ponad 8 600 adresów. Ta liczba nie obejmuje aktywności o średnim poziomie pewności, w tym podejrzewanej czwartej fali; dodanie tych potencjalnych kradzieży podniosłoby łączną potencjalną kwotę do 2 417,35 BTC o wartości około 153 mln USD w tamtym czasie.

Wcześniejszy szacunek strat w okolicach 132 mln USD pojawił się, gdy Galaxy zidentyfikowało co najmniej 15 atakujących wykorzystujących ten sam problem słabych seedów. Żaden nowy potwierdzony ślad ataku nie został datowany po 6 sierpnia, choć kolejne ofiary nadal zgłaszały wcześniejsze straty.

Około 1 531 BTC z zestawu kradzieży o wysokim poziomie pewności pozostawało nietkniętych według najnowszej analizy Galaxy. Mniej więcej 246 BTC zostało później przeniesionych, przy czym około 65% tej kwoty trafiło do transakcji CoinJoin.

Organy ścigania prowadzą śledztwo, podczas gdy użytkownicy przenoszą Bitcoiny

Coinkite poinformowało, że organy ścigania badają kradzieże i pracują nad zidentyfikowaniem sprawców. Galaxy przekazało adresy atakujących organom ścigania, giełdom i firmom śledczym, aby wspierać śledzenie przepływów i potencjalną interwencję, gdyby skradzione Bitcoiny trafiły do scentralizowanych usług.

Exploit przyspieszył również szerszy przegląd oprogramowania Bitcoin. Bitcoin Red Team niedawno wygenerował tysiące ustaleń dotyczących bezpieczeństwa w setkach projektów open source, korzystając z badaczy oraz analiz wspomaganych sztuczną inteligencją, natomiast Coinkite skorzystało z zewnętrznych badaczy i modeli AI podczas własnego trójtygodniowego przeglądu firmware.

Dotknięci problemem użytkownicy Coldcard powinni najpierw zainstalować poprawiony firmware, wygenerować i zweryfikować zupełnie nowy seed, potwierdzić adres odbiorczy, a następnie przenieść Bitcoiny w sieci (onchain). Zaimportowanie starej frazy odzyskiwania do innego portfela pozostawia podatny na atak seed bez zmian.

Coinkite obecnie zaleca firmware 5.6.1 dla Mk4 i Mk5 oraz 1.5.1Q dla Q. Użytkownicy Mk2 i Mk3 potrzebują wersji 4.2.0 lub nowszej, a każdy dotknięty seed nadal musi zostać wymieniony oddzielnie od aktualizacji firmware.