Coldcard přišel o 70 milionů dolarů: jak 41 minut stačilo k prolomení důvěry v hardwarové peněženky

Útočník postupoval pragmaticky: nejprve se zaměřil na největší zůstatky. Podle Chainalysis zmizelo během prvních deseti minut přibližně 30 milionů dolarů, včetně peněženky s bitcoinem v hodnotě 1,8 milionu dolarů . Nemusel přitom sáhnout na jediné zařízení. Zranitelnost mu umožnila vzdáleně znovu vytvořit seed fráze, a tím odvodit soukromé klíče .

Samostatně popsaná vlna odčerpala přibližně 594 BTC, tedy asi 38 milionů dolarů, zhruba z 500 jednopodpisových peněženek během 25 minut kolem 01:31 UTC . Analýzy Galaxy Research, Chainalysis a bezpečnostního týmu společnosti Block spojily tyto krádeže se stejnou zranitelností Coldcard .

Jak pomohla blockchainová analytika

Tým Block pro bitcoinové inženýrství a bezpečnost, který vedl inženýr Clay Garrett, zjistil, že útočník využíval placený účet u známého poskytovatele blockchainových služeb. Přes něj mohl efektivně vyhledávat a dotazovat zranitelné adresy .

Podezření vyvolal neobvyklý vzorec pohybu na blockchainu: mimořádně rychlé a po sobě jdoucí převody z adres, které sdílely stejnou slabinu. Block následně potvrdil stopy přímo propojující aktivitu operátora s infrastrukturou tohoto poskytovatele .

Služba tak podle vyšetřování fungovala jako průzkumný nástroj. Útočníkovi pomohla rychle zmapovat adresy vytvořené na zranitelném firmwaru a seřadit si je podle výše zůstatku . Garrett popsal zjištění jako „mimořádně přesná, až na úroveň konkrétního účtu“ .

Kořen problému: špatně vyhodnocená podmínka

Chyba se do firmwaru dostala při změně z března 2021, která souvisela s migrací na knihovnu libsecp256k1 z Bitcoin Core. U zařízení Coldcard Mk3 se problém objevil od firmwaru verze 4.0.1 .

Hardwarová peněženka měla při vytváření seedu využívat dedikovaný hardwarový generátor skutečně náhodných čísel (TRNG) v čipu STM32. Kvůli chybě v konfigurační makroinstrukci však firmware tuto cestu obešel a použil deterministický softwarový generátor Yasmarang z prostředí MicroPython .

Konfigurace produkční desky nastavila MICROPY_HW_ENABLE_RNG na nulu, protože Coldcard používal vlastní obslužnou vrstvu hardwarového generátoru. Knihovna libngu ale nekontrolovala, zda je makro skutečně zapnuté. Ověřovala pouze, zda je definované. Protože definované bylo — byť s hodnotou nula — knihovna předpokládala, že hardwarová cesta funguje, a napojila se na softwarovou funkci rng_get() .

Výsledkem bylo snížení efektivní entropie z plánovaných více než 128 bitů na přibližně 32 až 40 bitů. Místo astronomického množství možných seedů tak vznikly zhruba 4 miliardy kombinací, které lze s moderním hardwarem systematicky prohledávat . Plně ohroženy byly především seedy vytvořené bez vlastních hodů kostkou a bez dodatečného hesla BIP39 .

Chybu později uznal také generální ředitel Coinkite Rodolfo Novak, známý jako NVK: „Výslovně jsem nastavil MICROPY_HW_ENABLE_RNG na nulu v domnění, že žádnou z těchto verzí nepotřebujeme, ale takto to nefunguje“ .

Která zařízení a firmware se týkaly problému

Po další analýze Coinkite rozšířil bezpečnostní upozornění také na některé verze firmwaru pro Mk4, Mk5 a Q a vydal nouzové aktualizace pro všechny dotčené modely .

Co musí udělat majitelé zranitelných peněženek

• Ukradené prostředky jsou pravděpodobně nenávratně ztraceny. Bitcoin byl sloučen do dalších adres a podle dostupných zpráv může být převáděn přes běžné mixovací služby .
• Samotná aktualizace firmwaru starý seed nezachrání. Uživatel musí na opraveném firmwaru vytvořit zcela nový seed a převést na nové adresy všechny prostředky ze staré peněženky .
• Každý, kdo vytvořil seed na Coldcard Mk3 mezi březnem 2021 a červencem 2026, by jej měl považovat za kompromitovaný, i když o žádné prostředky zatím nepřišel .
• Vlastní hody kostkou nebo dodatečné heslo BIP39 mohly riziko zmírnit. Takto vytvořené peněženky nemusely být předvídatelné ani na zranitelném firmwaru .

Proč případ mění debatu o self-custody

Incident zasáhl do jednoho ze základních příslibů self-custody, tedy samostatné správy kryptoměn: že hardwarová peněženka ochrání klíče i před chybami v okolním softwaru . V tomto případě ale problém nevznikl v kryptografii bitcoinu ani v samotném blockchainu. Selhalo generování náhodnosti při vytváření klíčů.

• Cold storage není bezchybný trezor. Changpeng Zhao (CZ), zakladatel Binance, upozornil, že i hardwarová peněženka oddělená od internetu může být zneužitelná kvůli chybě ve firmwaru .
• Pro běžné investory se znovu otevírá otázka, zda výhody vlastní správy stojí za provozní riziko. Někteří analytici očekávají větší zájem o regulované správce a bitcoinové ETF .
• Chyba zůstala v open-source kódu více než pět let. Případ tak ukazuje, že veřejně dostupný zdrojový kód sám o sobě bezpečnost nezaručuje. Někteří výzkumníci proto volají po automatizovaných auditech s využitím umělé inteligence, které by podobné chyby v integraci generátorů náhodných čísel mohly odhalit dříve .
• Událost rovněž odhalila systémový bod selhání: jediná chyba výrobce může současně ohrozit všechny peněženky vytvořené na konkrétní verzi firmwaru. Custodial řešení toto riziko částečně rozkládají pomocí dělení klíčů a vícečlenných výpočtů (MPC), zároveň však přinášejí jiný typ důvěry a závislosti.

Podrobný technický rozbor zveřejnil tým Block ve své inženýrské zprávě . Technické pozadí chyby popisuje také Coinkite .