Tisícky ľudí urobili všetko správne. Kúpili si hardvérovú peňaženku Coldcard, uložili coiny do offline úschovy, nikomu neposlali seed frázu a neklikli na žiadny podvodný odkaz. A napriek tomu im 31. júla nadránom začali z peňaženiek odchádzať bitcoiny.
Za 25 minút zmizlo približne 594 BTC v hodnote okolo 38 miliónov dolárov z asi 500 peňaženiek. Podľa analytikov zo spoločnosti Galaxy Research dosahujú potvrdené straty už najmenej 1 596 BTC, teda viac než 100 miliónov dolárov, a to zo zhruba 7 300 adries. Odhady vrátane nepotvrdených vĺn hovoria až o 116 miliónoch dolárov.
Nešlo o hack v bežnom zmysle slova. Útočník sa žiadneho zariadenia nedotkol.
Čo sa vlastne stalo
Aby sme pochopili podstatu, treba si vysvetliť jeden pojem: entropiu.
Seed fráza, teda tých 12 alebo 24 slov, ktoré si zapisujete pri zakladaní peňaženky, nie je nič iné než ľudsky čitateľný zápis obrovského náhodného čísla. Celá bezpečnosť Bitcoinu stojí a padá na tom, že toto číslo je skutočne náhodné a nikto ho nedokáže uhádnuť.
Kvalita tejto náhodnosti sa meria v bitoch entropie. Štandardom je 128 bitov, ke počet možných kombinácií je vtedy taký veľký, že by ho nedokázali prejsť všetky počítače sveta ani za miliardy rokov.
Postihnuté zariadenia Coldcard generovali seedy s entropiou približne 40 bitov. To je zhruba bilión kombinácií, ktoré bežný počítač prejde za pár hodín.
Rozdiel medzi 128 a 40 bitmi nie je rozdiel medzi silným a slabším heslom. Je to rozdiel medzi bankovým trezorom a papierovou obálkou.
Jeden riadok, päť rokov
Príčinou bola chyba v build konfigurácii firmvéru verzie 4.0.1, ktorá vyšla v marci 2021. Makro s názvom MICROPY_HW_ENABLE_RNG bolo nastavené na nulu, no podporná knižnica kontrolovala len to, či makro existuje — nie či je zapnuté. Kontrola prešla a chyba sa dostala do verejného firmvéru.
Následok bol fatálny. MicroPython úplne vynechal volanie hardvérového generátora náhodných čísel v čipe STM32 a namiesto neho použil softvérový generátor Yasmarang. Ten produkuje predvídateľný prúd čísel.
Útočníkovi, ktorý si dokáže dostatočne zúžiť identifikátor zariadenia, stav časovača a históriu predchádzajúcich volaní generátora, to umožnilo vygenerovať kandidátske seedy úplne offline. Z nich potom odvodil bitcoinové adresy a jednoducho ich porovnal s verejným blockchainom. Kde našiel zhodu a zostatok, tam poslal transakciu.
Čiže nepotreboval prístup k zariadeniu, teda hardvérovej peňaženke. Nepotreboval, aby používateľ niekam klikol. Nepotreboval internetové pripojenie obete. Stačila mu matematika a verejné dáta.
Chyba bola vo verejnom firmvéri päť rokov a nikto si ju nevšimol.
Dôležité nuansy a odporúčania
Dôležitá nuansa, ktorá v mnohých článkoch zaniká: chyba sa týka výhradne generovania seedu. Kto si seed vytvoril inak — napríklad hodmi kockou alebo na inom zariadení — a do Coldcardu ho iba importoval, zasiahnutý nie je, aj keď má postihnutý firmvér.
Odporúčanie znie jednoznačne. Kto vygeneroval seed na zariadení Coldcard medzi marcom 2021 a vydaním opravy, mal by ho považovať za kompromitovaný a bezodkladne presunúť prostriedky na novú adresu s novým seedom. Aktualizácia firmvéru sama o sebe nestačí. Už vytvorený seed zostáva slabý navždy.
Zaujímavým detailom je, že približne 90% odcudzených bitcoinov sa zatiaľ nepohlo zo známych adries. Tie boli medzičasom odovzdané americkým federálnym orgánom, burzám aj forenzným spoločnostiam.
Ako sú na tom Trezor a Ledger
Obaja najznámejší výrobcovia konkurenčných hardvérových peňaženiek, čiže Trezor a Ledger, potvrdili, že ich zariadenia zasiahnuté nie sú. A na rozdiel od bežných PR vyhlásení má ich tvrdenie technické opodstatnenie.
Trezor nepoužíva firmvér ani kód Coldcardu — ide o úplne odlišnú codebase, takže táto konkrétna chyba sa v nej fyzicky nemôže nachádzať.
Podstatnejší je však dizajnový rozdiel. Trezor generuje seed z viacerých nezávislých zdrojov náhodnosti naraz. Kombinuje hardvér samotného zariadenia, pripojený hostiteľský počítač a pri novších modeloch aj Secure Element.
Presne v tom spočíva rozdiel. Ak zlyhá jeden zdroj entropie, ostatné výsledok podržia. Coldcard sa žiaľ spoliehal na jediný zdroj a keď ten vypadol, nemal ho čo nahradiť.
Ledger generuje seed pomocou skutočného generátora náhodných čísel zabudovaného priamo v certifikovanom Secure Elemente. Zdroj entropie je certifikovaný podľa štandardu AIS-31 PTG.2 a samotný čip prechádza certifikáciou Common Criteria. Inými slovami, kvalitu tej náhodnosti overila nezávislá tretia strana.
Nezasiahnutý zostáva aj Bitkey od spoločnosti Block.
Celá situácia má pritom nepríjemnú iróniu. Coldcard je open-source a práve tento fakt sa roky uvádzal ako jeho bezpečnostná výhoda. Ledger je naopak dlhodobo kritizovaný za uzavretý Secure Element, ktorému podľa časti komunity nemožno dôverovať. Tentoraz certifikovaná uzavretá cesta obstála a open-source chyba prežila päť rokov nepovšimnutá.
Bitcoin nezlyhal
Toto je najdôležitejšia časť celého príbehu a stojí za to ju povedať jasne.
Kryptografia Bitcoinu nezlyhala. Protokol nezlyhal. Princíp self-custody ako taký nezlyhal.
Zlyhalo jedno zariadenie jedného výrobcu kvôli jednej chybe v build konfigurácii. Konkurenčné zariadenia s robustnejším dizajnom – viacero nezávislých zdrojov entropie, certifikovaný Secure Element – obstáli bez problémov.
Napriek tomu by bolo naivné tváriť sa, že sa nič nestalo.
Kde self-custody naozaj dostala ranu
Ranu neutrpela myšlienka vlastníctva kľúčov. Ranu utrpel model, ktorý sme okolo nej postavili: kúpim si krabičku a slepo jej verím.
Hardvérová peňaženka nie je magický artefakt. Je to software v plastovom obale a software žiaľ obsahuje chyby. Coldcard túto svoju niesol päť rokov.
Ešte nepríjemnejšie je, že bežný používateľ nemá ako svoju entropiu overiť. Nevidí ju. Neexistuje nástroj, ktorým by si skontroloval, či jeho zariadenie hodilo férovou kockou. Musí dôverovať výrobcovi, čo je presne tá závislosť, ktorej sa self-custody snaží vyhnúť.
A vzniká tu problém, ktorý komunita dlho ignorovala: jediný bod zlyhania. Jedno zariadenie, jeden seed, jeden výrobca. Prvá vlna útoku zmietla predovšetkým peňaženky s jedným podpisom.
Bitcoin Red Team a ďalšie obavy
Že nešlo o izolovanú anomáliu, potvrdil vývoj v nasledujúcich dňoch. Po incidente vznikol Bitcoin Red Team pod vedením vývojára Calleho a Roba Hamiltona zo spoločnosti Anchorwatch.
Šestnásť vývojárov spustilo AI-asistovaný audit 390 open-source Bitcoin repozitárov. Za niečo vyše 24 hodín podali 4 962 nálezov, pričom z toho 85 kritických a 635 vysoko závažných. Samotnú zraniteľnosť Coldcardu vraj audit odhalil za osem minút.
Coldcard teda nebol výnimka. Bol prvý prevrátený kameň a riziká môžu existovať aj ďalšie.
Čo z toho vyplýva prakticky
Riešením nie je preskočiť k „lepšej značke“. Riešením je prestať stavať bezpečnosť na jednom bode:
- Multisig. Schéma 2-z-3 alebo 3-z-5 na zariadeniach od rôznych výrobcov. Chyba v entropii jedného výrobcu vám vtedy peňaženku nevyprázdni, pretože útočník potrebuje viacero kľúčov naraz.
- Vlastná entropia. Seed vygenerovaný hodmi kockou, ktorý zariadenie iba importuje. Vtedy je kvalita jeho generátora irelevantná.
- BIP-39 passphrase. Takzvané 25. slovo pridáva entropiu nezávisle od seedu vytvoreného zariadením.
- Sledovanie bezpečnostných oznámení výrobcu. Časť poškodených prišla o prostriedky preto, že o probléme jednoducho nevedela. Oprava bola vonku už hodiny pred prvou vlnou.
Bitcoin dáva svojmu držiteľovi absolútnu suverenitu nad vlastnými peniazmi. Tá suverenita však stojí na tichom predpoklade, že zariadenie v jeho ruke hodilo naozaj férovou kockou. Päť rokov ju u tisícok ľudí hádzalo falošnou a nikto to nevedel.
Top burzy
