70 mln dolarów w 41 minut. Jak jeden błąd w oprogramowaniu Coldcard zniszczył mit bezpiecznego portfela sprzętowego

Atak nie wymagał fizycznego dostępu do urządzeń. Wystarczyło zdalne odtworzenie ziarna (seed) portfela . Wcześniejsza fala tego samego exploitu w ciągu 25 minut opróżniła około 500 portfeli z 594 BTC (~38 mln dolarów) . Galaxy Research, Chainalysis i zespół inżynierów Blocka niezależnie potwierdzili, że wszystkie kradzieże łączy ta sama luka w oprogramowaniu Coldcard .

Jak atakujący wykorzystał usługę analizy blockchain?

Inżynier Blocka Clay Garrett odkrył, że atakujący korzystał z płatnego konta u znanego dostawcy usług analizy blockchain, aby skutecznie identyfikować i przeszukiwać podatne adresy . Wzorzec transakcji na łańcuchu – niezwykle szybkie, sekwencyjne opróżnianie adresów o tej samej słabości – naprowadził śledczych na trop. Block potwierdził, że aktywność operatora była bezpośrednio powiązana z infrastrukturą tego dostawcy . Dostawca usług analitycznych służył jako narzędzie rozpoznania, pozwalając hakerowi szybko zmapować, które adresy pochodzą z podatnego oprogramowania i wybrać najbogatsze cele .

Źródło problemu: Jeden błąd w makrze preprocesora

Luka została wprowadzona w marcu 2021 roku w oprogramowaniu sprzętowym (firmware) w wersji 4.0.1 dla modelu Mk3, podczas migracji do biblioteki libsecp256k1 Bitcoin Core . Błąd w makrze konfiguracyjnym spowodował, że oprogramowanie pominęło dedykowany sprzętowy generator liczb losowych (TRNG) STM32 i zamiast tego użyło deterministycznego programowego generatora Yasmarang z MicroPythona .

Konfiguracja płyty produkcyjnej ustawiła MICROPY_HW_ENABLE_RNG na zero, ponieważ Coldcard miał własny, oddzielny sprzętowy RNG. Jednak biblioteka libngu nie wywołała tego własnego RNG poprawnie: jej warunek zabezpieczający (#ifndef MICROPY_HW_ENABLE_RNG) sprawdzał tylko, czy makro jest zdefiniowane, a nie czy jego wartość jest różna od zera . Ponieważ makro było zdefiniowane (jako zero), libngu milcząco uznało, że ścieżka sprzętowa jest dostępna i podpięło programową funkcję rng_get() .

W efekcie efektywna entropia spadła do około 32–40 bitów (zamiast zamierzonych 128+ bitów), co oznaczało tylko około 4 miliardów możliwych wartości seeda – co jest trywialne do złamania przy użyciu nowoczesnego sprzętu . Seedy wygenerowane bez dodatkowych rzutów kostką użytkownika lub frazy BIP 39 były całkowicie odsłonięte .

Dyrektor generalny Coinkite, Rodolfo Novak (NVK), przyznał później: „Wyraźnie ustawiłem MICROPY_HW_ENABLE_RNG na zero, myśląc, że nie potrzebujemy żadnej wersji, ale to nie jest to, co to robi” .

Dotknięte i niedotknięte urządzenia

Coinkite później rozszerzyło ostrzeżenie na niektóre wersje firmware Mk4, Mk5 i Q i wydało awaryjne aktualizacje dla wszystkich dotkniętych modeli .

Konsekwencje dla użytkowników

• Środki są nie do odzyskania. Skradzione bitcoiny zostały skonsolidowane i prawdopodobnie są prane przez standardowe miksery .
• Nawet po zainstalowaniu łatki, stare seedy pozostają zagrożone. Użytkownicy muszą wygenerować zupełnie nowy seed na załatanej wersji oprogramowania i przenieść wszystkie środki na nowe adresy .
• Seedy wygenerowane na Mk3 między marcem 2021 a lipcem 2026 należy traktować jako spalone, nawet jeśli użytkownik nie stracił jeszcze środków – portfele te wciąż są narażone na ten sam atak .
• Dodatkowe frazy (passphrase) lub rzuty kostką zmniejszyły ryzyko i ochronili niektórych użytkowników nawet na podatnym oprogramowaniu .

Szersze konsekwencje dla debaty o samodzielnym przechowywaniu

Ten exploit poważnie nadszarpnął jedno z podstawowych założeń self-custody – że bezpieczny element portfela sprzętowego gwarantuje bezpieczeństwo kryptograficzne niezależnie od błędów w oprogramowaniu .

• Zimne przechowywanie nie jest niezawodne. Założyciel Binance, Changpeng Zhao (CZ), publicznie ostrzegł, że nawet portfele sprzętowe z izolacją powietrzną mogą być naruszone przez błędy w firmware .
• Debata przesuwa się w kierunku pytania, czy self-custody jest warte ryzyka operacyjnego dla przeciętnego inwestora. Część analityków przewiduje przesunięcie w stronę regulowanych depozytariuszy i ETF-ów Bitcoin .
• Błąd pozostawał niewykryty w otwartym kodzie źródłowym przez ponad pięć lat, co pokazuje, że sama transparentność open source nie gwarantuje bezpieczeństwa. Niektórzy badacze argumentują, że potrzebne są zautomatyzowane audyty AI – a nie tylko recenzje kodu wykonywane przez ludzi – aby wychwycić subtelne błędy w integracji RNG, zanim zostaną wykorzystane .
• Incydent uwidacznia pojedynczy punkt awarii: jeśli producent sprzętu popełni jeden błąd w entropii, każdy portfel wygenerowany na tym firmware jest jednocześnie podatny – ryzyko systemowe, które rozwiązania depozytowe częściowo niwelują przez dzielenie kluczy i obliczenia wielostronne.

Więcej szczegółów technicznych w raporcie Blocka oraz w analizie Coinkite .