Помилка у прошивці вимкнула генерацію криптографічно стійких випадкових чисел одразу в кількох поколіннях апаратних гаманців Coldcard, що живить триваючу крадіжку: уже виведено 594,48 біткоїна (BTC) на суму близько 38,3 мільйона доларів.

Виробник Coldcard, компанія Coinkite, та команда біткоїн-інженерів Block з'ясували, що причиною став непрацюючий механізм перевірки генератора випадкових чисел (RNG). Унаслідок цього зловмисники можуть відновити приватні ключі гаманця, використовуючи передбачувані параметри пристрою замість справжньої випадковості.

Крадіжка біткоїнів через Coldcard: як це сталося

Прошивка Coldcard вимикає вбудований у чип генератор випадковості. Замість нього резервна система будує ключі гаманця на основі серійного номера пристрою та його внутрішнього годинника. Обидва параметри мають закономірності, які зловмисник може вгадати, перетворюючи нібито випадкове зерно (seed) на розв'язувану задачу.

Пристрої з певними версіями прошивки, випущеними з 2021 року, майже не отримують справжньої випадковості. Новіші моделі містять часткове виправлення. Але й воно звужує кількість можливих варіантів приблизно до чотирьох мільярдів комбінацій — це число сучасні комп'ютери здатні перебрати. Історично Block відстежив уразливість до того оновлення 2021 року, а наступне виправлення роком пізніше все одно виявилося недостатнім.

Тому та сама слабкість зачіпає паперові гаманці, резервні копії seed-фраз та інші функції, що використовують те саме джерело випадковості. Звіт Block підтвердив ширше охоплення. Схема нагадує експлойт Ill Bloom, який раніше цього року спустошував гаманці через слабкі seed-фрази.

Що робити користувачам просто зараз

Зловмисникам не потрібен фізичний доступ, щоб украсти кошти. Видима адреса або експортований публічний ключ дає їм ціль, проти якої можна перевіряти здогадки. Щойно здогадка збігається, зловмисник отримує приватний ключ і може негайно перевести монети.

Coinkite рекомендує кожному постраждалому користувачеві згенерувати абсолютно нове зерно на оновленому обладнанні та негайно перевести кошти. Оновлення прошивки не можуть виправити завданий збиток, оскільки слабке зерно все ще існує на пристрої.

Водночас користувачі, які додали до свого зерна додаткову парольну фразу (passphrase), наражаються на суттєво менший ризик через цю уразливість. Такий підхід нещодавно рекомендував ZachXBT і для мобільних гаманців.

Слабка генерація ключів і раніше призводила до втрат у власників криптовалюти. Аналогічно, витік майстер-ключа зачепив податкове відомство Південної Кореї раніше цього року. Витік приватного ключа обвалив токен Humanity Protocol на 88% у червні.

Постачальники продовжують просувати офлайн-гаманці до роздрібних магазинів. Проте цей інцидент показує, що баги у прошивці здатні підірвати цю обіцянку зсередини самого пристрою.

Coinkite та Block заявляють, що все ще оцінюють, наскільки далеко поширюється уразливість по старих версіях прошивки. Доки цю перевірку не завершено, власникам Coldcard слід виходити з того, що будь-яке зерно, згенероване до сьогоднішнього виправлення, уже може бути скомпрометоване.

Джерело: BeInCrypto