Atak na zimne portfele Bitcoina: skradziono 70 mln USD bez dotykania urządzeń

Z 1 196 portfeli bitcoinowych zniknęło łącznie 1 082,65 BTC (ok. 70 mln USD) w ciągu zaledwie 41 minut 30 lipca. To niemal dwukrotnie więcej, niż wynikało z pierwszych doniesień. Galaxy Research odtworzyło pełny przebieg zdarzenia: między 01:10 a 01:51 UTC środki zostały wyprowadzone w sześciu blokach, przy czym trzy kolejne bloki nie zawierały żadnych transakcji, co sugeruje publikowanie zleceń w paczkach. Łupy pozostają na czterech adresach i jak dotąd nie zostały ruszone. Wcześniejsze raporty uwzględniały tylko jeden z nich, stąd wzrost szacowanej skali kradzieży. Choć to nie największy incydent tego roku, jego mechanizm budzi szczególny niepokój. Typowe kradzieże w krypto wymagają dostępu do celu: włamania na giełdę, wykorzystania luki w kontrakcie, wyłudzenia klucza z laptopa. Sprzętowe portfele cold storage sprzedają się obietnicą "dystansu": klucz prywatny ma pozostawać na urządzeniu, które nigdy nie łączy się z internetem, więc atakujący nie ma czego dotknąć. W tym przypadku problem leżał w procesie generowania seeda. Seed to liczba, z której według publicznie znanych reguł wyprowadzane są adresy i klucze prywatne. Firmware Coldcard miał pozyskiwać seed z dedykowanego generatora losowości sprzętowej. Wewnętrzne ustawienie kompilacji nakazywało jednak pominięcie tego generatora, a kontrola w bibliotece pomocniczej sprawdzała jedynie istnienie ustawienia, nie to, czy jest włączone. W efekcie generowanie kluczy spadało do prostego zamiennika programowego, inicjalizowanego numerem seryjnym układu i rejestrami zegara. Numer seryjny to stałe dane fabryczne, a wartości zegara to parametry czasowe, które napastnik może zawęzić lub odtworzyć na własnym urządzeniu. To zawęziło przestrzeń możliwych kluczy z niewyobrażalnie wielkiej do policzalnej. Zespoły bezpieczeństwa ustaliły, że w starszych modelach Mk2 i Mk3 (różne wersje Coldcard) klucze dało się determinować, a w Mk4, Q i Mk5 zakres oszacowano na ok. cztery miliardy możliwości. Cztery miliardy to dużo dla człowieka, ale mało dla komputera. Atak wygląda następująco: napastnik generuje kandydackie seedy na własnym sprzęcie, wyprowadza z nich adresy, a następnie porównuje je z publicznym blockchainem, który każdy może pobrać. Całość dzieje się po stronie atakującego. Urządzenie ofiary nie bierze udziału w żadnym etapie i może być nawet wyłączone oraz schowane w sejfie na innym kontynencie. Analiza Galaxy wskazuje na systematyczne "przeczesywanie". Spośród okradzionych portfeli 1 183 używały natywnego formatu adresów segwit, siedem korzystało ze starszego standardu, a sześć z jeszcze starszego. Jednoczesne uderzenie w trzy formaty nie wygląda na celowanie w konkretną osobę, tylko na enumerację: sprawdzanie każdego kandydata seeda względem wszystkich ścieżek, jakimi mógł on generować adresy. Operator może taki proces rozszerzać, zawężać i wracać do niego w dowolnym momencie. Galaxy ostrzegło, że kolejne fale są prawdopodobne, jeśli właściciele nie przeniosą środków. Problemem jest też brak możliwości samodzielnej weryfikacji ryzyka. Nie istnieje test, który pozwoliłby właścicielowi portfela sprawdzić, czy jego seed mieści się w odtwarzalnym zakresie. Coinkite, producent Coldcard, ostrzegł posiadaczy Mk3 i utrzymuje, że nowsze urządzenia są bezpieczne. Z kolei raport Block wskazuje, że w zasięgu problemu są także Mk2, Mk4, Q i Mk5. Do czasu wyjaśnienia rozbieżności każdy, kto wygenerował seed na podatnym firmware, musi zakładać najgorsze, zamiast móc to potwierdzić. Napastnik popełnił jednak błąd operacyjny. Clay Garrett z Block napisał na X, że operator używał płatnego konta w "znanym dostawcy danych blockchain" do odpytania adresów źródłowych podczas wyprowadzeń. Wewnętrzne logi dostawcy miały z niezwykłą precyzją odzwierciedlać podejrzewany workflow, łącznie z liczbą, czasem i sekwencją zapytań. Dostawca świadczył standardowe usługi, a zapytania nie zdradzały celu. Block przekazał informacje organom ścigania. Zimny storage ma gwarantować, że klucz jest nie do odgadnięcia. Rynek odczytywał to też jako obietnicę, że klucz jest nieosiągalny. Koszt znajdowania i wykorzystywania luk w tej pierwszej warstwie systematycznie spada. We wtorek Anthropic opublikował badania pokazujące, że jeden z ich modeli w 60 godzin obniżył o połowę poziom bezpieczeństwa kandydującego algorytmu postkwantowego, mimo że projekt przeszedł dwa lata eksperckiej weryfikacji. Bezpieczne przechowanie klucza coraz częściej okazuje się łatwiejszą połową problemu.