Нет удачи? Ваш аппаратный кошелек для Bitcoin, вероятно, не так безопасен, как вы думали

Большинство людей не осознают, что аппаратный кошелек для Bitcoin с изолированным доступом может хранить приватный ключ вне интернета в течение многих лет и при этом оставаться уязвимым с момента создания его семени.

Недавно раскрытая ошибка генерации случайных чисел в Coldcard делает это противоречие очевидным. Кошелек с затронутой прошивкой может производить нормально выглядящую фразу восстановления из 12 или 24 слов, хранить ее в оффлайне и подписывать транзакции в изоляции. Предсказуемая генерация уменьшила пространство возможных вариантов за этими словами, позволяя злоумышленнику воспроизводить кандидатов в другом месте и идентифицировать совпадающие адреса Bitcoin.

Я вижу самое важное решение по безопасности кошелька в самом начале. Оно происходит до ввода PIN-кода, стального резервного копирования, пакета с защитой от вскрытия и процесса подписания с изолированным доступом: насколько непредсказуемым было семя?

Современный надежный генератор случайных чисел может обеспечить достаточную энтропию. Физические кости дают владельцу источник случайности, который можно видеть, контролировать и отделить от кода производителя.

Семя было слабым до того, как кошелек вышел в оффлайн

Первый отчет CryptoSlate о недостатке Coldcard объяснил путь атаки. Кандидатные семена могут быть сгенерированы вне устройства, преобразованы в публичные адреса и проверены на активности в публичной бухгалтерской книге Bitcoin.

Техническая причина была почти болезненно мала. Изменение кода 1 марта 2021 года переместило генерацию семени Coldcard в новую библиотеку. Производственная прошивка определила настройку под названием MICROPY_HW_ENABLE_RNG как ноль, что означает отключение, в то время как интеграция проверяла только наличие этой настройки. Ее наличие отправляло генерацию в детерминированный резервный вариант Yasmarang MicroPython вместо предполагаемого аппаратного генератора случайных чисел. Затронутый путь был выпущен в прошивке 4.0.0 17 марта, согласно координированному анализу Block.

Обычный вывод кошелька скрывал значительно уменьшенное пространство поиска. Предварительная оценка Coinkite ставит затронутые семена Mk2 и Mk3 примерно на уровне 40 бит эффективного пространства поиска, а затронутые семена Mk4, Mk5 и Q — примерно на уровне 72 бит. Block определил отдельный предел для более поздних устройств: максимум 2^32 безопасно различимых потоков, когда состояние резервного варианта и история вызовов были фиксированы. Цифры Coinkite оценивают эффективное пространство, которое злоумышленник может исследовать. Более узкая граница Block описывает одну часть повторной генерации семени при фиксированных условиях, не утверждая о контрольной точке атаки от начала до конца.

Оба анализа помещают более поздние устройства до исправления в затронутый диапазон. В рекомендациях по безопасности Coinkite перечислены прошивки Mk4 и Mk5 до стандартной 5.6.0 или Edge 6.6.0X, а прошивки Q до стандартной 1.5.0Q или Edge 6.6.0QX. Для Mk2 и Mk3 Coinkite перечисляет версии с 4.0.1 по 4.1.9, в то время как Block говорит, что путь начался в 4.0.0. Я бы отнесся к этой спорной границе с осторожностью.

Обновление до исправленной версии защищает будущее поколение семян. Существующее семя сохраняет энтропию, которую оно получило при создании, и каждый адрес, производимый из него, делит тот же коренной секрет. Любой, кто использовал затронутую версию, должен проверить рекомендации и создать совершенно новое семя с исправленным программным обеспечением и надежной энтропией, когда исключение с приватными костями не может быть установлено. Затем средства необходимо перевести на новый кошелек. Новый адрес из старой мнемоники сохраняет слабость.

Масштаб инцидента требует столь же осторожного языка. Bitcoin Optech сообщил о развивающейся оценке выше 1,000 BTC 31 июля. По состоянию на 2 августа Galaxy Research оценил подозреваемые 1,367.05 BTC на 4,585 адресах. Пользователь X, выступающий под именем Graham_Quantum, также сообщил, что 18.25245043 BTC покинули кошельки 29 июля. Этот пост устанавливает свидетельство от первого лица; связь транзакций и причинно-следственная связь с Coldcard остаются неподтвержденными.

Гораздо большая цифра описывает защитное движение. Второй отчет CryptoSlate о Coldcard показал, что 77,402 BTC переместились из старых UTXO после раскрытия информации. Общая сумма охватывает движение старых монет, включая предостерегающее перемещение. Это измеряет волну самоспасения, в то время как меньшая цифра Galaxy является развивающейся оценкой предполагаемых потерь.

Неудача в безопасности может создать два шока одновременно: кражу и гораздо большую волну рационального перемещения. Данные в блокчейне фиксируют движение. Мотив требует контекста.

Что меняет частный кубик

Документация кубиков Coldcard рассчитывает около 2.585 бит энтропии для каждого независимого броска честного шестигранного кубика. Пятьдесят бросков обеспечивают около 129.25 бит сырой энтропии броска, традиционно нацеливаясь на безопасность в 128 бит. Девяносто девять бросков обеспечивают около 255.91 бит, примерно целевой уровень для безопасности в 256 бит, прежде чем кошелек применит свою задокументированную процедуру конверсии.

Эти числа совпадают с BIP-39, широко используемым мнемоническим стандартом. Фраза из 12 слов кодирует 128 бит энтропии плюс 4 бита контрольной суммы. Фраза из 24 слов кодирует 256 бит плюс 8 бит контрольной суммы.

Контрольная сумма обнаруживает ошибки, не добавляя никакой новой непредсказуемости. Хеширование или форматирование слабого ввода в более длинный вывод сохраняет основное ограничение на возможные секреты. Двенадцать знакомых слов могут представлять собой лишь крошечный подмножество пространства, которое они, кажется, предлагают.

Физические броски помогают только тогда, когда задокументированная процедура кошелька правильно их учитывает. Кубик должен подходить для задачи, каждый бросок должен быть подлинным и независимым, а последовательность должна оставаться конфиденциальной. Повторные шаблоны, фотографии, заметки в облаке и ввод на обычном сетевом компьютере могут подорвать независимость или секретность бросков.

Для этого инцидента Coldcard Coinkite говорит, что перемещение может быть ненужным только тогда, когда пользователь может установить, что финальное семя включало как минимум 50 честных, независимых и частных бросков кубиков. Его совет по поводу неопределенности - это перемещение.

Для меня кубики важны, потому что случайность, генерируемая устройством, требует от владельца доверия к аппаратному обеспечению, прошивке, процессу сборки и интеграционному коду как к одной цепи. Задокументированный поток ввода кубиков добавляет контролируемую владельцем энтропию извне этой цепи. Примерно 50 честных бросков нацеливаются на 128 бит, а 99 - на около 256 бит, но пользователи должны следовать точной процедуре устройства, а не импровизировать конверсию.

Сильная, уникальная фраза-пароль BIP-39 изменяет атаку другим образом. Она добавляет независимую тайну, которую злоумышленник должен обнаружить после нахождения мнемоники. Исходная энтропия мнемоники остается неизменной. Каждая фраза-пароль, включая опечатку, порождает кошелек, который выглядит действительным, поэтому потеря точной фразы-пароля может оставить средства в затруднительном положении. PIN-код устройства служит другой цели.

Фраза-пароль создает подлинный компромисс. Она может обеспечить мощный второй барьер, когда владелец может воспроизвести и защитить ее. Плохое резервное копирование превращает ту же функцию в способ заблокировать себя.

Слабая случайность продолжает возвращаться

Coldcard является текущим предупреждением, и та же корневая ошибка появилась в очень разных кошельках.

В 2023 году Ledger Donjon раскрыл, что некоторые версии расширения Trust Wallet для браузера использовали путь WebAssembly, инициализированный значением 32-битного генератора Mersenne Twister. Кажущиеся нормальными мнемоники происходили из примерно четырех миллиардов возможных начальных значений. Затронутый диапазон был специфическим: версии расширения для браузера от 0.0.172 до 0.0.182, использующие Trust Wallet Core до 3.1.1. Национальная база данных уязвимостей фиксирует эксплуатацию в декабре 2022 года и марте 2023 года.

Раскрытие Milk Sad показало более интуитивную версию той же опасности в Libbitcoin Explorer 3.x. Его команда bx seed использовала 32-битный генератор Mersenne Twister, инициализированный временем, и могла производить ту же мнемонику при одинаковых условиях времени. Знание приблизительного времени создания дало злоумышленнику гораздо меньший диапазон для поиска, чем предполагали слова восстановления.

Исследователи нашли более 2600 активно используемых биткойн-кошельков в затронутых диапазонах и оценили более 900 000 долларов США, связанных с кражами по нескольким цепочкам по ценам августа 2023 года. Более 2550 из этих кошельков имели автоматизированный шаблон и, возможно, принадлежали одному владельцу, и исследователи заявили, что некоторые утечки могли быть связаны с другими уязвимостями.

Реализации различались: случайный откат прошивки, путь Wasm расширения браузера и команда командной строки, инициализированная временем. Каждая из них производила вывод, который выглядел как секрет кошелька полной силы, исследуя лишь небольшую часть видимого пространства.

Советы по хранению биткойнов часто начинаются после того, как семя существует: держите его в оффлайне, используйте надежные резервные копии, разделяйте обязанности и тестируйте восстановление. Все это по-прежнему имеет значение. Ошибка Coldcard сдвигает стартовую линию на один шаг назад.

Воздушный зазор защищает секрет, который вы ему даете. Случайность должна быть на первом месте.