Luka w Coldcard pozwoliła ukraść 1"082 BTC przed publicznym ostrzeżeniem producenta

Wieloletnia luka w oprogramowaniu sprzętowych portfeli Coldcard przełożyła się na jedną z największych kradzieży bitcoinów z portfeli hardware w ostatnich miesiącach. Z ponad 1"100 portfeli zniknęło łącznie ponad 1"082 BTC o wartości ok. 70 mln USD, zanim producent oficjalnie ostrzegł użytkowników. Badanie Galaxy Research wskazuje, że napastnik opróżnił 1"196 adresów Bitcoina 30 lipca w przedziale 01:10–01:51 UTC, wyprowadzając ok. 1"082,65 BTC w zaledwie 41 minut. Do ataku doszło niemal 30 godzin przed tym, jak Coinkite opublikował komunikat o podatności części urządzeń Coldcard. Według analityków nie chodziło o bezpośrednie przełamanie zabezpieczeń samych urządzeń. Atakujący miał odtworzyć prywatne klucze offline, wykorzystując słabość w sposobie generowania fraz odzyskiwania (seed) w części portfeli. Celem były portfele utworzone na urządzeniach Coldcard Mk3 z firmware w wersjach 4.0.1–5.0.3, pierwotnie wydanych w marcu 2021 r. Galaxy Research zwraca uwagę, że wszystkie transakcje używały tej samej, nietypowo wysokiej opłaty 30 sat/vB i nie pozostawiały wyjścia reszty (change). To ma sugerować, że sprawca dysponował już kluczami prywatnymi i jedynie zautomatyzował wypłaty. Eksperci opisują, że źródłem problemu była aktualizacja firmware z 2021 r. Standardowo portfele sprzętowe tworzą frazy odzyskiwania z użyciem sprzętowego generatora liczb losowych, co czyni klucze praktycznie niezgadywalnymi. Inżynierowie Block ustalili jednak, że błąd w kodzie wyłączał sprzętową losowość na urządzeniach dotkniętych usterką. W konsekwencji portfele korzystały z programowego generatora liczb losowych opartego na przewidywalnych danych, takich jak numer seryjny urządzenia i zegar wewnętrzny. W efekcie poziom bezpieczeństwa seedów na Mk3 spadał z oczekiwanych 128 bitów entropii do ok. 40 bitów, co przy dzisiejszej mocy obliczeniowej otwiera drogę do ataków brute force na dużą skalę. Coinkite później rozszerzył ostrzeżenie także na wybrane wersje firmware dla Mk4, Mk5 oraz Coldcard Q, gdzie entropia miała spaść do ok. 72 bitów. Firma podkreśliła przy tym, że nowsza architektura sprzętowa istotnie ogranicza łączne ryzyko. Skradzione bitcoiny szybko skonsolidowano na kilku portfelach. Badacze wskazują adres, na którym nadal znajduje się ponad 562 BTC. Inne portfele mają 398 BTC, 89 BTC i 32 BTC. Po konsolidacji środki nie wykazywały dalszego ruchu. Coinkite zalecił użytkownikom, którzy wygenerowali frazę odzyskiwania na podatnym firmware, natychmiastowe przeniesienie środków do nowego portfela utworzonego na najnowszej wersji oprogramowania. Firma zaznaczyła również, że osoby korzystające z dodatkowej frazy BIP39 (passphrase) są w znacznie lepszej sytuacji, ponieważ dodatkowe hasło stanowi kolejną warstwę ochrony niezależną od naruszonego seedu. Zdaniem specjalistów napastnik mógł wcześniej wygenerować miliony potencjalnych kluczy i czekać, aż odpowiadające im portfele pojawią się w sieci Bitcoina. Ostrzegają, że kolejne podatne portfele mogą nadal być zagrożone, jeśli ich właściciele nie zmigrują środków.