Coldcard-Bitcoin-Exploit erklärt: Entropie, Schlüsselerzeugung und die Bedeutung von Bits

Jemand hat Bitcoin-Wallets geleert, die niemals hätten erreichbar sein dürfen.

Die Münzen befanden sich auf Coldcard-Geräten – Hardware-Wallets des kanadischen Herstellers Coinkite, die niemals mit dem Internet verbunden sind. Kein Phishing-Link. Keine Malware. Kein gestohlener Laptop. Die Angreifer haben einfach die privaten Schlüssel herausgefunden.

Galaxy Research hat nun mehr als 1.596 BTC verfolgt, die in drei bestätigten Wellen gestohlen wurden, mit einer vermuteten vierten Welle, die die Gesamtsumme auf etwa 2.055 BTC anheben würde – etwa 130 Millionen Dollar zu aktuellen Preisen. Eine einzige Aktion bewegte 70 Millionen Dollar in 41 Minuten. Coinkite sagt, dass mindestens 15 verschiedene Angreifer sich beteiligt haben.

Das Unternehmen veröffentlichte am 1. August einen technischen Hintergrundbericht, in dem erklärt wird, was schiefgelaufen ist. Es ist ein ungewöhnlich offenes Dokument, und die Kurzfassung lautet, dass die Wallet acht Jahre lang mit gezinkten Würfeln spielte, ohne dass es jemand bemerkte.

Null ist immer noch etwas

Im Jahr 2021 verlegte Coinkite die Kryptographie von Coldcard auf libsecp256k1, dieselbe Bibliothek, die auch Bitcoin Core verwendet. Eine vernünftige Entscheidung. Die Integration ist der Punkt, an dem es scheiterte.

Die Migration leitete die Seed-Erzeugung stillschweigend vom eigenen Hardware-Zufallszahlengenerator von Coldcard auf den Software-Fallback von MicroPython um – einen kleinen Algorithmus namens Yasmarang, der für Geräte ohne Zufallschip existiert.

Coldcard hat einen Zufallschip. Er wurde nur nicht mehr gefragt.

Der Grund ist fast zu klein, um ihn zu glauben. Ein Build-Guard verwendete #ifndef, das prüft, ob eine Einstellung existiert, und nicht, ob sie aktiviert ist. Coinkite hatte diese Einstellung als Null definiert, was "aus" bedeutet. Da Null immer noch als definiert zählt, bestand der Sicherheitscheck und der Build wurde abgeschlossen. Beide Versionen der Funktion hatten identische Signaturen, also sah nichts falsch aus.

"Der Großteil der Zufälligkeit auf dem COLDCARD stammte von einem PRNG, von dem ich nicht wusste, dass er tatsächlich im Quellcode enthalten war", schrieb Coinkite und bezog sich dabei auf einen pseudozufälligen Zahlengenerator – Software, die Zahlen erzeugt, die zufällig aussehen, aber einem festen Rezept ab einem Startwert folgen.

Füttere das Rezept mit demselben Startwert und du erhältst dieselbe Ausgabe. Jedes Mal.

Bei Mk2- und Mk3-Geräten mit Firmware 4.0.1 bis 4.1.9 stammte dieser Startwert von der Seriennummer des Chips und seiner Uhr. Coinkite schätzt den resultierenden Suchraum auf etwa 40 Bit. Neuere Modelle mischten etwas Entropie aus dem Secure Element bei und hoben sie auf ungefähr 72 Bit.

Keiner erreicht 128, das Ziel.

Die Lücke ist bedeutender, als sie aussieht. Bits sind Exponenten. Ein 128-Bit-Suchraum enthält mehr Kombinationen als es Atome im beobachtbaren Universum gibt, und niemand durchsucht ihn. Vierzig Bit sind etwa eine Billion – eine Zahl, die ein ordentlicher Laptop durchkauen kann. Jedes verlorene Bit halbiert die Arbeit.

Das Engineering-Team von Block, das seine eigene Analyse veröffentlichte, beziffert den effektiven Suchraum des Secure Elements der neueren Geräte auf 2^32 Kandidaten, mit durchschnittlich etwa 2^31 Versuchen. Ihre Einschätzung für die älteren Boards ist deutlicher: Bei bekannter Geräte-ID, Timer-Zustand und Aufrufhistorie ist die Wallet-Erzeugung deterministisch.

Und deterministisch ist das Gegenteil von zufällig, was für die Kryptographie unerlässlich ist.

Nicht "schwach". Vorhersehbar.

Coinkite vermutet, dass es von einer Maschine gefunden wurde. "Wir müssen davon ausgehen, dass jemand KI verwendet hat, um frühere Versionen unserer Firmware zu überprüfen und auf dieses Problem gestoßen ist", schrieb das Unternehmen und fügte hinzu, dass es kürzlich eines der besten verfügbaren KI-Modelle über denselben Code laufen ließ und nichts fand. "Sowohl Angreifer als auch Verteidiger haben dieselben KI-Tools, aber heute hat es uns nicht geholfen und nur den Bösen geholfen."

Für jedes betroffene Modell ist eine korrigierte Firmware verfügbar. Sie repariert keine bestehenden Seeds; diese Wallets müssen neu generiert und die Gelder transferiert werden. Decrypt hat behandelt, wie sich Air-Gapped-Speicher nach einem solchen Exploit verändert und die Verluste verfolgt, die auf über 114 Millionen Dollar gestiegen sind.

Was Entropie tatsächlich ist

Entropie ist das Maß dafür, wie viel ein Angreifer nicht weiß.

Mit anderen Worten, es ist im Grunde Unsicherheit, gezählt in Bits. Ein Bit ist ein Münzwurf: zwei Ergebnisse, und ein Rater liegt die Hälfte der Zeit richtig. Zehn Bits sind 1.024 Ergebnisse. Jedes Bit verdoppelt die Arbeitslast des Raters.

Eine Bitcoin-Wallet ist eine sehr große geheim gehaltene Zahl. Die Adresse, an die Leute Münzen senden, wird mathematisch daraus abgeleitet, und die Ableitung läuft nur in eine Richtung – man kann vom Schlüssel zur Adresse gelangen, aber nie zurück.

Die Sicherheit jeder Wallet beruht also auf einer Frage: Wie viele Zahlen müsste ein Angreifer ausprobieren?

Wenn die Zahl mit 128 Bits Entropie gewählt wurde, lautet die Antwort „mehr, als die Physik erlaubt.“ Wenn sie mit 40 gewählt wurde, lautet die Antwort „geben Sie mir etwas Zeit.“

Dies ist dieselbe Eigenschaft, die die Bedrohung durch Quantencomputing diskussionswürdig macht – eine Quantenmaschine würde die Mathematik angreifen, die Schlüssel mit Adresse verbindet. Der Coldcard-Bug musste das nie. Er machte die Schlüssel erratbar, bevor diese Mathematik ins Spiel kam.

Hier wird die Terminologie rutschig. Ein Pseudozufallsgenerator erzeugt Ausgaben, die statistische Tests auf Zufälligkeit bestehen, also im Grunde nichts, was eine Tabellenkalkulation beanstanden würde. Diese Ausgabe ist dennoch vollständig durch ihren Startwert bestimmt. Sie sieht zufällig aus, ist es aber nicht.

Statistische Zufälligkeit und kryptografische Unvorhersehbarkeit sind unterschiedliche Eigenschaften, und die Ausgabe des Coldcard hätte den ersten Test problemlos bestanden, während sie den zweiten völlig verfehlt hätte.

Echte Zufälligkeit muss aus physikalischem Rauschen stammen: elektrisches Jittern in einem Schaltkreis, thermische Schwankung, radioaktiver Zerfall. Dafür war der Hardware-Chip auf dem Coldcard gedacht. Das ist der Chip, den das Build-Flag abkoppelte.

Dann brachte Luke Dashjr die Würfel ins Spiel

Als Benutzer sich beeilten, Seeds neu zu generieren, griffen viele zur offensichtlichen Low-Tech-Lösung. Coldcards ermöglichen es Ihnen, physische Würfel zu rollen und die Ergebnisse als Entropie einzuspeisen. Coinkites eigene Anleitung behandelt Seeds, die mit mindestens 50 unabhängigen, privaten Würfelwürfen erstellt wurden, als nicht vom Bug betroffen.

Es mag dumm klingen, aber das Unternehmen verkauft tatsächlich einen Beutel mit „100 niedlichen und winzigen Würfeln“, um Ihnen den gesamten Prozess zu erleichtern.

Am 31. Juli veröffentlichte der Bitcoin-Core-Entwickler Luke Dashjr eine Warnung: „Ziemlich viele Leute schlagen vor oder verwenden Würfel, um die Coldcard-Schwachstelle zu entschärfen. Beachten Sie, dass handelsübliche Würfel nicht für kryptografische Sicherheit ausgelegt sind. Wenn Sie dies tun möchten, sollten Sie wahrscheinlich Präzisions-Casino-Würfel kaufen. Und selbst dann sollten Sie eine weitere Entropiequelle haben.“

Bitcoin Twitter nahm das nicht gelassen auf.

„lol, jetzt kannst du nicht einmal mehr Würfel werfen“, schrieb ein Nutzer. „Self-Custody ist vorbei…“ Ein anderer fragte, ob er jemanden mit Parkinson einstellen solle, um sie zu werfen. (Nicht nett.)

Die wahrscheinlich nützlichste Antwort kam mit Arithmetik. Entwickler Justin Sharp berechnete genau, wie viel ein schlechter Würfel kostet:

„Übertrieben. Ein perfekter W6 ergibt 2,585 Bits pro Wurf. Ein deutlich verzerrter Würfel, z. B. mit einer Fläche, die in 20 % der Fälle statt 16,7 % landet, ergibt immer noch etwa 2,55 Bits. Über 99 Würfe macht das den Unterschied zwischen ~256 Bits und ~252 Bits Entropie.“

Vier Bits von 256. Das ist die gesamte Strafe für einen sichtbar unfairen Würfel.

Dashjr hat nicht unrecht, dass billige Würfel eine messbare Verzerrung aufweisen – Spritzguss-Augen entfernen jeweils leicht unterschiedliche Mengen an Kunststoff von jeder Fläche, weshalb Casinos präzisionsgefüllte Würfel verwenden. Er hat recht mit der Physik und unrecht mit dem Einsatz. Vier Bits von 256 zu verlieren, lässt dich bei 252. Coldcards Bug ließ die Benutzer bei 40 zurück.

In seinem Rat steckt jedoch ein schärferes Argument, und es geht nicht um Fertigungstoleranz. Es geht darum, keiner einzigen Quelle zu vertrauen. Coldcards Versagen lag nicht darin, dass ihre Entropie leicht verzerrt war – sondern darin, dass eine Komponente stillschweigend aufhörte, beizutragen, und nichts es bemerkte.

Was man dagegen tun kann

Wenn Sie einen Seed auf einer betroffenen Coldcard ohne Würfelwürfe (wirklich) oder ohne eine starke BIP-39-Passphrase generiert haben, ist dieser Seed kompromittiert.

Aktualisieren Sie die Firmware, generieren Sie einen neuen Seed, verifizieren Sie den Fingerabdruck, senden Sie eine Testtransaktion und verschieben Sie dann alles. Die Stellungnahme von Coinkite geht Modell für Modell darauf ein. Exportierte Seeds tragen den Fehler mit sich – das Verschieben eines schlechten Seeds in eine andere Wallet-App löst nichts.

Für alle anderen ist die Erkenntnis nicht, dass Hardware-Wallets kaputt sind oder dass Würfel eine Falle sind.

Es ist, dass "zufällig" eine Behauptung ist, und Behauptungen müssen überprüft werden. Coldcards Quellcode war die ganze Zeit öffentlich. Der beabsichtigte Hardware-Zufallsgenerator war direkt in der Binärdatei vorhanden. Prüfer bestätigten, dass er existierte, und bestätigten nie, dass der Seed-Generator ihn tatsächlich aufrief.

Acht Jahre Audits sahen sich den richtigen Code an. Niemand überprüfte, ob er ausgeführt wurde.