Bitcoins massiver Diebstahl durch Entropieversagen in Coldcard entlarvt BIP39 Samen

Am 30. Juli entleerte ein Angreifer 1,196 Bitcoin Adressen in 41 Minuten und nahm 1.082.65 BTC - ungefähr $70.2 Millionen nach dem Wert zu dieser Zeit - nach der Ausbeutung einer Schwäche in der Coldcard-Samen-Generation, die einzigartige Bitcoin-basierte Hardwaretasche von Coinkite entworfen. Die öffentliche Forschung, die die Operation abbildet und die technische Ursache verfolgt, weist darauf hin, dass es kein direktes physisches Angriffsleck war, sondern ein Firmware-Integrationsversagen, das im März 2021 erschien, dass in bestimmten Gebäuden verursachte, dass die Samenerzeugung auf einem Software-Determinist-Generator basierte und nicht auf dem STM32-Chip Zufallsgenerator.

Konkret umfasst die Fehlerkette eine Produktionskonfiguration, die das MicroPython-Makro für das RNG, die Überprüfung in der Bibliotheksbibliothek des bloßen Vorhandenseins dieses Makros anstatt seiner effektiven Aktivierung und die Initialisierung des Pseudorandoms mit der einzigartigen Chip-Identifikation und Timer-Aufzeichnungen, ohne frische Entropie zu sammeln. Das Ergebnis: 12-Worte BIP-39 Samen mit effektive Entropies weit unter dem 128 Bit erwartet, geschätzt von Coinkite in einigen Mk3-Modellen und etwa 72 Bit in anderen Mk4- / Mk5 / Q-Modellen, was die praktischen Kosten für die Generierung von Saatgutkandidaten und die Überprüfung von Adressen in der öffentlichen Kette drastisch reduziert.

Es ist wichtig zu betonen, dass die Exposition ausschließlich von der Firmware-Version abhängt, die bei der Erstellung des Saatguts verwendet wurde, nicht von der Version, die der Benutzer später installiert hat. Coinkite veröffentlichte Notfall-Patches und Benutzer müssen sie installieren, aber installieren Sie den Patch nicht korrigieren Sie einen Saat bereits erzeugt mit empfindlicher Firmware. Die offizielle Empfehlung ist es, einen neuen Samen mit gepatelter Firmware zu erzeugen und die Mittel zu übertragen; den alten Samen in der korrigierten Firmware wiederherzustellen oder in einem anderen Geldbeutel gibt Schwäche wieder.

Aus Sicht des Angreifers ist dieser Ausfall gefährlich, weil er einen Offline- und gerichteten Ansatz ermöglicht: Wenn ein Gegner Daten wie die ID des Geräts, den Timing-Status beim Start oder die RNG Call-Geschichte verfolgen oder kennen kann, kann er Kandidatenströme reproduzieren und Wörter ableiten, um zu überprüfen, ob irgendwelche Match-Adressen in der öffentlichen Kette. Die öffentliche Forschung hat noch keine bestätigte Rekonstruktion des Samens einer der geplünderten Adressen vorgelegt, und das von einigen Teams beobachtete "sweep"-Muster (keine Änderungstransaktionen mit dem Satz h.30 sat / vB) dient der Identifizierung des Betreibers, der Münzen bewegte, nicht um die Technik der per se Diebstahl zu demonstrieren.

Für jeden Coldcard-Halter ist die praktische Priorität einfach und dringend: zu überprüfen, ob das Saatgut in einer betroffenen Version erstellt wurde und, wenn ja, zu migrieren. Coinkite platzierte verwundbare Serien und Versionen in Warnung (z.B. Mk3 in bestimmten Patches 4.0.0-4.1.9, eingestellt auf 4.2.0; Mk4 / Mk5 vor 5.6.0; Q vor 1.5.0Q und "edge" Gebäude vor bestimmten Indizes). Wenn Sie nicht mit Sicherheit überprüfen können, dass der Samen in sicherer Firmware geboren wurde, erzeugt einen neuen Samen mit aktualisierter Firmware und zieht die Mittel darauf. Nicht wiederherstellen oder exportieren Sie den alten Samen in ein anderes Gerät und machen Sie keinen Samen sicher, nur weil das Gerät jetzt die neueste Version installiert hat.

Es gibt wichtige Nuancen für fortgeschrittene Anwender: Wurde das Saatgut unter Verwendung von mindestens 50 privaten und unabhängigen Spins eines sechsseitigen (Coinkite's Empfehlung zur physischen Entropie) oder durch eine hochwertige externe Quelle erzeugt, kann das Saatgut für diesen besonderen Ausfall nicht gefährdet sein; im Zweifelsfall bleibt die Migration die sicherste Option. Ein starkes BIP-39-Passwort fügt eine Schicht hinzu, die die einzelne Liste der Wörter nicht springen kann, aber Coinkite weiterhin empfehlen, den Samen auch bei der Verwendung von Passphrase zu ersetzen. Bei Multi-Sig-Setups existiert die Belichtung nur, wenn Alle Die Unterzeichner teilen Samen, die signifikant generiert werden; Multisig mit heterogenen Unterzeichnern bleibt eine solide Minderung.

Die betrieblichen Auswirkungen auf die Industrie sind breit. Custodians, Austauscher und Fondsmanager sollten die Verfahren der Volume-Key-Generierung überprüfen und prüfen, dass Werkzeugketten und Buchhandlungen von Drittanbietern die Hardware RNG richtig verwenden. Die Vertrauenskette in eine Hardware-Walette ist nicht nur das physische Gerät, sondern auch die Integration von Firmware, Compilation Makros und die Behandlung von Wrappers, die das RNG ablenken. Firmware-Audits, Entropietests und Nutzung unabhängiger Mechanismen (z.B. Samenerzeugung mit physikalischen Würfeln) sollten Teil des Playbooks für hochwertige Systeme sein.

Für Endnutzer und Administratoren Ich empfehle, die Geräteversion und das Saat-Erstellungsdatum zu überprüfen, installieren Sie die Notfall-Firmware des Herstellers, erzeugen Sie einen neuen Samen in dieser Firmware und übertragen alle Gelder, überprüfen Sie nicht, um den alten Samen in jeder Umgebung wiederherzustellen, verwenden Sie starke Passphrasen als zusätzliche Verteidigung und, wenn möglich, mehrere Signaturen mit verschiedenen Lieferanten, um das Risiko eines gemeinsamen Ausfalls zu minimieren. Es ist auch eine gute Praxis, eigene Adressen und Listen von Transaktionen mit ungewöhnlichen Mustern zu überwachen (z.B. solche, die ohne Veränderung erwähnt werden) und Lieferanten zu informieren, wenn verdächtige Aktivität festgestellt wird.

Dieser Vorfall erinnert daran, dass die kritische Sicherheit sowohl von kryptographischer Robustheit als auch von Software Engineering abhängt. Hardware-Wandets Benutzer sollten nicht nur den Ruf des Herstellers, sondern auch die RNG-Implementierung Details und Firmware-Konstruktionspraktiken berücksichtigen. Um die technische Dokumentation zum BIP-39-Saatstandard zu lesen und zu verstehen, warum Entropie zählt, können Sie die offizielle Spezifikation in GitHub sehen: BIP-39 (Spezifikation). Für Informationen und Beratung des Herstellers, besuchen Sie die Coinkite / Coldcard Website: Coinkite / Coldcard. Wenn Sie wichtige Mittel verwalten, wenden Sie sich an die Unterstützung des Herstellers und prüfen Sie professionelle Beratung für eine sichere Migration.