Predvidive Coldcard seed fraze omogućile krađu oko 130 miliona dolara
Najmanje 12 hakera ili hakerskih grupa cilja vlasnike Coldcard hardverskih novčanika kompanije Coinkite, a Galaxy Research je do utorka evidentirao krađu oko 130 miliona dolara u bitkoinu. Elliptic je ocenio da je ta procena približno tačna, dok identitet napadača još nije utvrđen.
Kako je zaobiđena zaštita van mreže
Coldcard je namenjen čuvanju tajnog ključa, odnosno seed fraze, na uređaju koji nije povezan sa internetom. Bitkoin ostaje zabeležen na blockchainu, ali pristup sredstvima štiti podatak koji postoji isključivo van mreže. Takav „hladni” novčanik razlikuje se od „vrućih” novčanika u aplikacijama, proširenjima pregledača i nalozima na berzama poput Binancea i Coinbasea.
Istraživači kompanije Block utvrdili su propust u načinu na koji su Coldcard uređaji generisali seed fraze: rezultati su bili predvidivi. Kada su napadači razumeli slabost, mogli su grubom silom da generišu fraze žrtava. Nije bilo potrebno da provale u sef, zaraze uređaj povezan na mrežu niti fizički dođu do sačuvanog ključa.
Suštinu incidenta dodatno pojašnjava slučaj Coldcard generatora i raniji gubitak bitkoina, jer pokazuje kako slab generator može da poništi prednosti fizički izolovanog novčanika. U ovom slučaju, napadači su praktično otkrili kako da u velikom obimu naprave odgovarajuće ključeve.
Zašto fizička izolacija nije bila dovoljna
Jedan korisnik, koji tvrdi da mu je ukradeno 1,6 miliona dolara, naveo je da seed frazu nikome nije otkrio, da njegovi uređaji nikada nisu bili povezani sa internetom i da je sve čuvao u više sefova i bankarskih sefova. Kao uzrok je označio ranjivu liniju koda iz 2021. godine u hardveru koji je prvobitno napravio seed frazu.
Incident se odvija u godini u kojoj je TRM Labs zabeležio više od 200 napada na kripto-kompanije, sa ukupnim gubicima većim od 950 miliona dolara. Krađa iz Coldcard novčanika posebno je značajna zato što pokazuje da izolacija tajne ne rešava problem ako je sama tajna nastala predvidivim postupkom.
Šta korisnici treba da urade
Coinkite je u bezbednosnom upozorenju, objavljenom u četvrtak i dopunjenom u subotu, pozvao korisnike da ažuriraju uređaje, a zatim pređu na novu seed frazu. Samo instaliranje ispravke zato nije završni korak: postojeća sredstva treba migrirati na frazu generisanu nakon ažuriranja.
Za kompanije koje čuvaju kripto-imovinu praktičan zaključak je da kontrole moraju obuhvatiti poreklo i kvalitet ključeva, verzije firmvera, praćenje upozorenja proizvođača i dokumentovan postupak migracije. Offline uređaj smanjuje pojedine rizike, ali ne može da nadoknadi slabost algoritma kojim su pristupni podaci napravljeni.