Coldcard-Sicherheitslücke: Kraken-CSO fordert unabhängige Audits

Coldcards fünfjähriger Seed-Erzeugungsfehler hat erneut Forderungen nach unabhängigen Tests der Firmware von Hardware-Wallets laut werden lassen, nachdem mutmaßliche Angriffe Bitcoin im Wert von fast 90 Millionen US-Dollar aus Tausenden von Wallets abgezogen haben.

Krakens Chief Security Officer Nick Percoco sagte in einem Beitrag auf X am Sonntag, dass der Vorfall als Warnung für die Hardware-Wallet-Branche dienen sollte, und argumentierte, dass Hersteller nicht die einzigen Parteien sein sollten, die überprüfen, wie Wallet-Seed-Phrasen erzeugt werden.

Er sagte, dass die Produktionsfirmware unabhängigen Tests unterzogen werden sollte, um zu bestätigen, dass die genehmigte Zufallsquelle tatsächlich diejenige ist, die bei der Erstellung von Wallet-Geheimnissen verwendet wird.

Laut der neuesten Blockchain-Analyse von Galaxy Research haben mutmaßliche Angreifer nun mehr als 1.800 BTC von über 5.200 potenziellen Opferadressen in vier beobachteten Angriffswellen abgezogen, obwohl das Unternehmen betont hat, dass diese Zahlen On-Chain-Schätzungen und keine bestätigten Verluste sind. Coinkite hat nicht jede betroffene Wallet verifiziert, und Blockchain-Daten allein können nicht bestimmen, ob ein einzelner Akteur alle Angriffe durchgeführt hat.

Coldcard-Fehler entging mehr als fünf Jahre lang der Überprüfung

Coinkite gab am Donnerstag bekannt, dass die Schwachstelle auf März 2021 zurückgeht, als das Unternehmen einen Teil seiner Firmware migrierte, während es eine neue kryptografische Bibliothek integrierte.

Anstatt Coldcards beabsichtigten hardwaregestützten echten Zufallszahlengenerator zur Erstellung von Wallet-Seeds zu verwenden, rief die aktualisierte Firmware versehentlich einen schwächeren deterministischen Pseudo-Zufallsgenerator auf, der von MicroPython bereitgestellt wird.

Laut Coinkites Postmortem blieb der beabsichtigte Zufallszahlengenerator anderswo in der Firmware aktiv, sodass Code-Reviews seine Präsenz verifizieren konnten, ohne aufzudecken, dass die Wallet-Erstellung auf einer anderen Entropiequelle beruhte.

Das Unternehmen sagte, es sei sich bis zur Untersuchung nicht bewusst gewesen, dass der MicroPython-Generator im relevanten Codepfad existierte. Während der Hardware-Zufallszahlengenerator weiterhin für andere Funktionen arbeitete, war er nicht mehr für die Erzeugung neuer Wallet-Geheimnisse verantwortlich.

Blocks Bitcoin-Engineering- und Sicherheitsteam kam während seiner technischen Überprüfung unabhängig zu demselben Schluss. Das Unternehmen sagte, dass die betroffene Firmware bei der Erstellung von Wallet-Seeds den deterministischen MicroPython-Fallback anstelle des STM32-Hardware-Zufallszahlengenerators aufrief. Obwohl Block sagte, dass es keine vollständige empirische Tests jedes Geräts abgeschlossen habe, entschied es sich, seine Ergebnisse offenzulegen, weil bereits Berichte über aktiven Diebstahl aufgetaucht waren.

Coinkite schätzt, dass Seeds, die auf betroffenen Mk2- und Mk3-Geräten erstellt wurden, etwa 40 Bit effektive Entropie enthalten können, während betroffene Mk4-, Mk5- und Q-Modelle etwa 72 Bit anstelle der beabsichtigten 128 Bit enthalten können.

Hardware-Wallet-Tests haben keine Entropie-Verifizierung durchgeführt

Am Beispiel des Coldcard-Vorfalls argumentierte Percoco, dass die Zertifizierung von Hardware-Wallets einen der wichtigsten Teile der Wallet-Sicherheit übersehen hat.

Er sagte, dass Benutzer derzeit darauf vertrauen müssen, dass Hersteller die Seed-Erzeugung korrekt implementieren, da kein unabhängiger Prozess verifiziert, dass die Produktionsfirmware tatsächlich die genehmigte Entropiequelle aufruft. Bestehende Zertifizierungen, einschließlich Common-Criteria-Bewertungen für sichere Elemente, CSPN-Überprüfungen und herstellergesponserte Audits, validieren diese Beziehung laut Percoco nicht systematisch.

Um die Kluft zu veranschaulichen, verwies er auf NIST SP 800-90B, den US-Standard, der die Entwicklung und Validierung von echten Zufallszahlengeneratoren regelt, die in kryptografischen Systemen verwendet werden, sowie auf das deutsche BSI AIS-31-Framework, das ähnliche Testanforderungen stellt. Er argumentierte, dass eine vergleichbare End-to-End-Verifizierung derzeit für Hardware-Wallets nicht existiert.

Percoco verglich den Sektor auch mit der Zahlungssicherheit und stellte fest, dass PIN-Eingabegeräte nicht ohne unabhängige Labortests versendet werden können, während kryptografische Module der US-Regierung vor der Zulassung eine Validierung der Entropiequelle erfordern.

Coldcard-Benutzer benötigen weiterhin neue Wallet-Seeds

Da die Angriffsaktivitäten über das Wochenende andauerten, gab Coinkite bekannt, dass es nach Bestätigung der Schwachstelle alle Lieferungen gestoppt und alle verbleibenden Geräte in seinen Einrichtungen, die die betroffene Firmware enthielten, vernichtet hat.

Das Unternehmen riet den Kunden dennoch, betroffene Geräte nicht zu entsorgen, da sie wichtig werden könnten, wenn gestohlene Gelder schließlich durch rechtliche Schritte wiedererlangt werden. Coinkite fügte hinzu, dass sein Rechtsteam sich gegebenenfalls mit Strafverfolgungsbehörden in mehreren Rechtsgebieten abstimmen werde.

Firmware-Updates wurden bereits für alle betroffenen Modelle veröffentlicht, einschließlich Version 4.2.0 für Mk2 und Mk3, Version 5.6.0 für Mk4 und Mk5, Version 1.5.0Q für Coldcard Q und Versionen 6.6.0X und 6.6.0QX für Edge-Versionen. Laut Unternehmen behebt die Installation der aktualisierten Firmware nur die zukünftige Wallet-Erstellung und stärkt nicht die vor dem Patch generierten Seed-Phrasen.

Aus diesem Grund werden Benutzer, die von der Warnung betroffen sind, angewiesen, nach der Aktualisierung ihrer Geräte völlig neue Seed-Phrasen zu generieren, eine Empfangsadresse zu verifizieren, eine kleine Testtransaktion zu senden und den Restbetrag erst zu migrieren, nachdem der Transfer erfolgreich bestätigt wurde.

Coinkite erklärte, dass Wallets, die mit mindestens 50 fairen, privaten Würfelwürfen erstellt wurden, nicht allein durch den Zufallszahlengenerierungsfehler als gefährdet gelten. Das Unternehmen fügte hinzu, dass eine starke und einzigartige BIP-39-Passphrase eine weitere Schutzschicht bietet, aber die Schwäche eines bereits betroffenen Seeds nicht beseitigt, was bedeutet, dass die Migration die empfohlene Vorgehensweise bleibt.

Laufende Angriffe erweitern weiterhin die bekannten Verluste

Eine separate Blockchain-Analyse von Galaxy Research zeigt, dass die Angriffe seit Bekanntwerden der Schwachstelle fortgesetzt wurden.

Alex Thorn, Forschungsleiter bei Galaxy, identifizierte am 3. August eine vermutete vierte koordinierte Angriffswelle, die die beobachtete Gesamtsumme des Unternehmens auf etwa 1.815,75 BTC über 5.294 potenzielle Opferadressen bringt, wenn sich keine der Adressgruppen überschneidet. Thorn beschrieb die Wallets als „wahrscheinliche Coldcard-Opfer“ und betonte, dass die Zahlen aus Blockchain-Analysen stammen und nicht aus bestätigten Geräteaufzeichnungen oder Erkenntnissen der Strafverfolgungsbehörden.

Galaxy berichtete auch, dass die Angriffsaktivität während der letzten Welle 13,8 Wallet-Sweeps pro Block erreichte, verglichen mit einer Basislinie von 0,3 Sweeps pro Block vor dem Vorfall. Das Unternehmen beobachtete, dass die meisten Opferguthaben an neu erstellte Adressen gesendet wurden, anstatt an eine einzelne Sammel-Wallet, während einige Gelder bereits durch Transaktionen über zweite Hops bewegt wurden, was das gestohlene Bitcoin schwerer nachvollziehbar macht.

Laut Galaxy haben Benutzer, deren gestohlene Gelder in unbestätigten Bitcoin-Transaktionen verbleiben, möglicherweise immer noch eine geringe Gelegenheit, eine Ersatztransaktion mit höherer Gebühr zu senden, bevor Miner die ursprüngliche Übertragung bestätigen.

Unter Berufung auf die Bitcoin-Core-Dokumentation stellte das Forschungsunternehmen fest, dass Replace-by-Fee nur versucht werden kann, solange die Transaktion unbestätigt bleibt, und selbst wenn der legitime Eigentümer die betroffenen Schlüssel noch kontrolliert, keine Garantie für eine Wiederherstellung bietet.