Coinkite twierdzi, że atakujący użył AI do znalezienia błędu, którego nie zauważył ich własny przegląd AI, ujawniając 500 portfeli na błąd generowania ziarna, który zredukował 128 bitów entropii do 40.
Podsumowanie
- Atakujący wyprowadził 594 BTC, około 38 milionów dolarów, z około 500 portfeli sprzętowych Coldcard w 25 minut 31 lipca, wykorzystując błąd generowania ziarna obecny od marca 2021 roku.
- Błąd zredukował efektywną entropię ziaren Mk3 ze 128 bitów do około 40 bitów, czyniąc klucze prywatne możliwymi do odgadnięcia poprzez obliczenia brute force zamiast ataku kryptograficznego.
- Coinkite, producent Coldcard, uważa, że atakujący użył AI do odkrycia błędu w ich oprogramowaniu open source, i twierdzi, że ich własny audyt AI tego samego kodu kilka tygodni wcześniej niczego nie znalazł.
- Każdy obecny model Coldcard jest w pewnym stopniu dotknięty, przy czym ziarna Mk4, Q i Mk5 szacowane są na około 72 bity entropii zamiast 128, a aktualizacja oprogramowania nie naprawia już utworzonych ziaren.
- Block, Trezor i Ledger potwierdziły, że ich produkty nie są dotknięte, podczas gdy incydent rodzi fundamentalne pytania, czy portfele sprzętowe mogą być zaufane jako jedyna warstwa przechowywania znacznych zasobów bitcoin.
Atak trwał 25 minut. O 2:14 UTC 31 lipca pojedynczy podmiot zaczął przeszukiwać bitcoiny z portfeli sprzętowych Coldcard. Do 2:39 594 BTC zostało przeniesione z około 500 portfeli na adres konsolidacyjny. Środki, warte około 38 milionów dolarów w momencie przeszukania, nie zostały skradzione przez phishing, złośliwe oprogramowanie ani fizyczny dostęp do urządzeń. Zostały skradzione, ponieważ urządzenia generowały przewidywalne klucze prywatne.
Coinkite, firma z Toronto produkująca Coldcard, opublikowała ostrzeżenie i techniczną analizę 30 lipca po odkryciu błędu. Firma poinformowała, że błąd kompilacji w jej oprogramowaniu spowodował, że generowanie ziarna pobierało losowość z programowego fallbacku zamiast z sprzętowego generatora liczb losowych, którego urządzenie miało używać. Błąd był obecny od wersji oprogramowania 4.0.1, wydanej w marcu 2021 roku. Każde ziarno wygenerowane na dotkniętym Coldcard w ciągu ostatnich pięciu lat było słabsze, niż sądził jego właściciel.
Konsekwencje wykraczają poza bezpośrednią stratę finansową. Coldcard był portfelem sprzętowym wybieranym przez bitcoinowych maksymalistów, badaczy bezpieczeństwa i instytucjonalnych depozytariuszy, którzy priorytetowo traktują bezpieczeństwo air gapped, open source i bitcoin only. Jeśli najbardziej zaufany portfel sprzętowy w bitcoinie mógł wysłać pięcioletni błąd entropii bez wykrycia, pytanie nie brzmi, czy Coldcard zawiódł. Pytanie brzmi, czy jakikolwiek portfel sprzętowy może być zaufany jako pojedynczy punkt bezpieczeństwa depozytowego.
Mechanizm: jak 128 bitów stało się 40
Techniczne wyjaśnienie jest zarówno proste, jak i niepokojące. Oprogramowanie Coldcard wywołuje funkcję pobierającą losowość podczas generowania ziarna. W kodzie istniały dwie implementacje tej funkcji o identycznych sygnaturach: sprzętowy generator liczb losowych napisany przez Coinkite oraz programowy fallback odziedziczony z MicroPython, środowiska uruchomieniowego Pythona, na którym zbudowane jest oprogramowanie.
Guard preprocesora miał wybierać implementację sprzętową. Ale guard sprawdzał tylko, czy ustawienie konfiguracyjne jest zdefiniowane, a nie czy jego wartość jest poprawna. Gdy oprogramowanie było kompilowane, system budowania rozwiązał niejednoznaczność, wybierając programowy fallback. Kompilacja zakończyła się bez ostrzeżeń. Powstałe oprogramowanie generowało ziarna, które wyglądały normalnie, produkowały prawidłowe adresy bitcoin i przyjmowały depozyty bez żadnych oznak, że podstawowa entropia była katastrofalnie słaba.
Na Mk3, Coinkite szacuje efektywną przestrzeń poszukiwań dla ziarna wygenerowanego w tych warunkach na około 40 bitów. Ziarno 128-bitowe ma więcej możliwych kombinacji niż atomów w obserwowalnym wszechświecie. Ziarno 40-bitowe ma około biliona kombinacji. To jest w zasięgu umiarkowanie zasobnego atakującego używającego sprzętu komercyjnego. Różnica nie jest błędem zaokrąglenia. To różnica między zamkiem, którego nie można otworzyć, a zamkiem, który można wyważyć.
Modele Mk4, Q i Mk5 zawierają dodatkowe elementy zabezpieczające, które mieszają własną entropię do procesu generowania ziarna. Coinkite szacuje, że te modele produkują ziarna z około 72 bitami efektywnej entropii przy tym błędzie. To materialnie lepsze niż 40 bitów, ale wciąż znacznie poniżej celu 128 bitów. Przestrzeń kluczy 72-bitowa nie jest praktycznie możliwa do przeszukania brute force przy obecnym sprzęcie konsumenckim, ale jest w teoretycznym zasięgu dobrze finansowanego przeciwnika z dostępem do specjalistycznych zasobów obliczeniowych.
Najbardziej krytycznym szczegółem w ostrzeżeniu Coinkite jest pojedyncze zdanie: „Aktualizacja oprogramowania nie zmienia ani nie naprawia istniejącego ziarna.” Każdy właściciel Coldcard, który wygenerował ziarno na dotkniętym oprogramowaniu, musi utworzyć nowe ziarno na naprawionym sprzęcie i przenieść swoje środki. Nie ma programowej poprawki dla słabego klucza prywatnego. Sam klucz musi zostać zastąpiony.
Wymiar AI
Doradztwo Coinkite przedstawiło twierdzenie, które natychmiast spotkało się z krytyką społeczności zajmującej się bezpieczeństwem. Firma stwierdziła, że wierzy, iż „ktoś użył AI do przejrzenia poprzednich wersji naszego oprogramowania układowego”, aby odkryć błąd. Dodała, że uruchomiła „jeden z najlepszych dostępnych modeli” na tym samym kodzie na tygodnie przed atakiem, a model „nie znalazł tego błędu ani niczego poważnego”.
To twierdzenie jest prawdopodobne, ale niezweryfikowane. Oprogramowanie układowe Coldcard jest open source i publicznie dostępne na GitHubie. Każda osoba lub zautomatyzowany system może je przejrzeć. Konkretna klasa błędu, zabezpieczenie preprocesora, które sprawdza definicję, a nie wartość, to rodzaj subtelnego błędu w ścieżce kodu, który duże modele językowe wykazują różną zdolność do wykrywania w zależności od kontekstu, inżynierii promptów i użytego modelu.
Asymetria opisana przez Coinkite jest realna, nawet jeśli jej konkretne przypisanie jest spekulacyjne. Atakujący i obrońcy mają dostęp do tych samych narzędzi AI. Ale atakujący mają przewagę strukturalną: muszą znaleźć jedną możliwą do wykorzystania lukę, podczas gdy obrońcy muszą znaleźć wszystkie. AI, które przegląda kod i nie zgłasza niczego poważnego, daje fałszywą pewność. AI, które przegląda kod i znajduje pojedynczą możliwą do wykorzystania ścieżkę, dostarcza atakującemu wszystko, czego potrzebuje.
Incydent rodzi również pytania o proces audytu bezpieczeństwa portfeli sprzętowych w szerszym zakresie. Coldcard był chwalony za podejście open source, które pozwala każdemu na inspekcję oprogramowania układowego. Ale widoczność open source jest tylko tak wartościowa, jak jakość przeprowadzanych inspekcji. Jeśli własny przegląd AI producenta, przeprowadzony prawdopodobnie z pełnym kontekstem dotyczącym architektury i intencji bazy kodu, przeoczył błąd, przewaga open source staje się teoretyczna, a nie praktyczna.
Społeczność badaczy bezpieczeństwa dyskutowała nad twierdzeniem o przypisaniu AI ze sceptycyzmem. Kilku badaczy zauważyło w mediach społecznościowych, że konkretna klasa błędu, zabezpieczenie preprocesora sprawdzające definicję versus wartość, jest dobrze udokumentowana w literaturze dotyczącej systemów wbudowanych i mogła zostać znaleziona poprzez konwencjonalny przegląd kodu. Argumentowali, że ramy AI ryzykują zaciemnienie bardziej fundamentalnej porażki: Coinkite nie miało wystarczających procesów przeglądu ludzkiego dla krytycznej ścieżki kodu, która nie zmieniła się od pięciu lat. Niezależnie od tego, czy błąd znalazło AI, czy ludzki badacz, podstawowy problem jest ten sam. Kod był publiczny, błąd był subtelny, ale nie nowatorski, i nikt po stronie obrońców go nie wykrył.
Block opublikował niezależną analizę techniczną 31 lipca, potwierdzając, że żaden z jego produktów, w tym Bitkey, nie jest dotknięty. Kierownik ds. sprzętu w Block, Max Guise, wezwał każdego z dotkniętym Coldcardem do „przeniesienia środków tak szybko, jak to bezpiecznie możliwe”. Trezor potwierdził, że jego urządzenia używają innego podejścia do generowania entropii i nie są podatne na atak. Ledger nie opublikował formalnej odpowiedzi, ale jego architektura Secure Element używa dedykowanego sprzętowego generatora liczb losowych, który działa niezależnie od oprogramowania układowego.
Pięcioletnie okno
Harmonogram luki jest równie szkodliwy jak sama luka. Wersja oprogramowania układowego 4.0.1, która wprowadziła błąd, została wydana w marcu 2021 roku. Każde ziarno wygenerowane na dotkniętym Coldcardzie między marcem 2021 a wydaniami oprogramowania układowego z poprawkami 31 lipca 2026 roku jest potencjalnie zagrożone. To pięć lat i cztery miesiące dotkniętego generowania ziaren.
W tym oknie Coldcard wysłał Mk3 (dotknięty przy 40 bitach), Mk4 (dotknięty przy 72 bitach) i Q (dotknięty przy 72 bitach). Mk5, wydany w 2026 roku, również jest dotknięty przy 72 bitach. Coinkite wydało wiele aktualizacji oprogramowania układowego w tym okresie, z których żadna nie rozwiązała ani nie wykryła problemu z entropią. Własne przeglądy bezpieczeństwa firmy, w tym niedawny audyt AI, nie wykryły go.
Pięcioletnie okno zbiegło się również z okresem znacznego wzrostu ceny bitcoina. Ziarna wygenerowane na dotkniętych urządzeniach Mk3 w 2021 roku, kiedy bitcoin handlowano między 29 000 a 69 000 dolarów, teraz chronią zasoby przy cenach powyżej 60 000 dolarów. Ekonomiczna zachęta dla atakującego do zainwestowania zasobów obliczeniowych w brutalne złamanie 40-bitowych kluczy rosła z każdym wzrostem ceny. Portfel trzymający 1 BTC, który był wart 30 000 dolarów, gdy ziarno zostało wygenerowane, jest teraz wart dwa razy tyle. Zwrot z inwestycji atakującego poprawił się po prostu przez czekanie.
Liczba dotkniętych portfeli jest trudna do dokładnego oszacowania. Coinkite nie publikuje danych sprzedażowych. 500 portfeli opróżnionych w początkowym ataku reprezentuje najbardziej narażony podzbiór, prawdopodobnie użytkowników Mk3 z najsłabszą 40-bitową entropią, którzy posiadali salda wystarczająco duże, aby uzasadnić inwestycję obliczeniową atakującego. Całkowita liczba portfeli z zagrożonymi ziarnami we wszystkich dotkniętych modelach może być znacznie większa.
Wzorzec konsolidacji atakującego sugeruje systematyczne przygotowanie. 594 BTC zostało przemieszczonych z około 500 portfeli na adres konsolidacyjny, a następnie przeniesione na pojedynczy adres zawierający 562 BTC. Okno wykonania wynoszące 25 minut i liczba portfeli zaatakowanych jednocześnie wskazują, że atakujący wcześniej obliczył podatne klucze przed rozpoczęciem przemieszczania. To nie był atak okazjonalny. To była operacja, która wymagała tygodni lub miesięcy przygotowań.
Analiza łańcuchowa przemieszczania pokazuje metodyczną sekwencję wykonania. Atakujący nie wysłał wszystkich 500 transakcji jednocześnie, co groziłoby zatorami w mempoolu i potencjalnym wyprzedzeniem przez boty typu MEV monitorujące nietypowe wzorce transakcji. Zamiast tego transakcje były grupowane w partie, każda partia potwierdzana w ciągu jednego lub dwóch bloków. Adres konsolidacyjny otrzymywał środki przez wiele bloków, zanim końcowa transakcja przeniosła 562 BTC na adres, który wydaje się być długoterminowym adresem przechowywania. W chwili pisania tego tekstu środki nie zostały dalej przemieszczone.
Problem migracji
Wytyczne naprawcze Coinkite proszą dotkniętych użytkowników o przeprowadzenie migracji portfela: wygenerowanie nowego seeda na zaktualizowanym oprogramowaniu, weryfikację kopii zapasowej, wysłanie transakcji testowej, a następnie przeniesienie pozostałych środków. Proces jest prosty dla użytkowników z pojedynczym portfelem i umiarkowanymi saldami. Jest znacznie bardziej skomplikowany dla użytkowników z konfiguracjami multisig, transakcjami z blokadą czasową lub portfelami, które służą jako jeden klucz w większej strukturze powierniczej.
Migracja stwarza również własne ryzyka bezpieczeństwa. Przeniesienie środków z naruszonego portfela do nowego wymaga podpisania transakcji przez naruszony portfel. Jeśli atakujący już obliczył klucz prywatny, może wyprzedzić migrację, monitorując blockchain pod kątem jakiejkolwiek transakcji z naruszonego adresu i natychmiast przemieszczając pozostałe środki. Użytkownicy ze znacznymi saldami stają w obliczu wyścigu między własną migracją a przemieszczeniem przez atakującego.
Dla użytkowników przechowujących bitcoiny w układach multisig, gdzie Coldcard służył jako jedno z wielu urządzeń podpisujących, migracja jest bardziej złożona, ale ryzyko jest częściowo złagodzone. Portfel multisig 2 z 3, gdzie tylko jeden klucz został wygenerowany na dotkniętym Coldcardzie, pozostaje bezpieczny, dopóki atakujący nie może naruszyć drugiego klucza. Jednak naruszony klucz nadal osłabia ogólny model bezpieczeństwa i powinien zostać wymieniony. Proces wymaga koordynacji ze wszystkimi posiadaczami kluczy w celu skonstruowania nowego portfela multisig z kluczem zastępczym, podpisania transakcji migracyjnej z istniejącym kworum i zweryfikowania nowego układu przed przeniesieniem pozostałych środków.
Coinkite rozwiązało jeden przypadek brzegowy, który zapewnia częściową ulgę. Użytkownicy, którzy dodali co najmniej 50 niezależnych rzutów kośćmi podczas generowania seeda, wnieśli wystarczającą ilość zewnętrznej entropii, aby podnieść sumę powyżej 128 bitów niezależnie od błędu oprogramowania. Wprowadzone kości zostały zahaszowane razem z losowością wygenerowaną przez urządzenie, więc silna entropia z kości zrekompensowała słabą entropię urządzenia. Użytkownicy, którzy dodali 99 lub więcej rzutów, wnieśli około 256 bitów samymi kośćmi.
Wyjątek dotyczący kości podkreśla ironię. Użytkownicy, którzy najprawdopodobniej dodali obszerne rzuty kośćmi podczas generowania seeda, to najbardziej świadomi bezpieczeństwa użytkownicy, dokładnie ta grupa demograficzna, która wybrała Coldcard specjalnie ze względu na jego reputację lepszych praktyk bezpieczeństwa. Dla tych użytkowników ich własna paranoja co do jakości entropii mogła przypadkowo ochronić ich przed niepowodzeniem producenta w jej dostarczeniu.
Co to oznacza dla bezpieczeństwa portfeli sprzętowych
Incydent z Coldcard nie jest pierwszym naruszeniem portfela sprzętowego. Ledger stanął w obliczu naruszenia bazy danych w 2020 roku, które ujawniło dane klientów. Trezor ujawnił lukę fizycznej ekstrakcji w 2023 roku. Ale te incydenty dotyczyły albo ujawnienia metadanych, albo wymagań fizycznego dostępu. Błąd Coldcarda jest inny, ponieważ podważa fundamentalną obietnicę bezpieczeństwa urządzenia: że generuje ono prawdziwie losowe klucze prywatne.
Czas pogłębia szkody. Incydent pojawia się, gdy bitcoin handluje w pobliżu wszechczasów, a instytucjonalne przyjęcie rozwiązań samodzielnego przechowywania przyspieszyło. Firmy i biura rodzinne, które wybrały Coldcard specjalnie ze względu na jego reputację bezpieczeństwa, stoją teraz przed pilną decyzją operacyjną: migracją środków na potencjalnie naruszonych kluczach, ścigając się z atakującym, który mógł już obliczyć te klucze.
Incydent podważa kilka założeń, które społeczność bitcoinowa traktowała jako fundamentalne. Założenie, że oprogramowanie open source jest z natury bezpieczniejsze niż zastrzeżone, ponieważ może być audytowane. Założenie, że sprzętowe generatory liczb losowych w dedykowanych urządzeniach bitcoinowych są bardziej godne zaufania niż alternatywy programowe. Założenie, że urządzenie skupiające się wyłącznie na bitcoinie, a nie obsługujące wiele kryptowalut, będzie miało prostszy, a zatem bardziej audytowalny kod.
Żadne z tych założeń nie jest błędne w zasadzie. Są błędne tylko jako absoluty. Oprogramowanie układowe o otwartym kodzie źródłowym może być audytowane, ale nie było skutecznie audytowane. Sprzętowe generatory liczb losowych są bardziej godne zaufania, ale tylko wtedy, gdy system budowania faktycznie się do nich odwołuje. Kod źródłowy przeznaczony wyłącznie dla bitcoina jest prostszy, ale prostota nie zapobiegła temu, że pięcioletni błąd pozostał niewykryty.
Praktyczna lekcja jest taka, że portfele sprzętowe nie powinny być traktowane jako jedyna warstwa powiernicza dla znacznych zasobów bitcoinów. Ustalenia dotyczące wielopodpisów, które rozdzielają klucze na wiele urządzeń od różnych producentów, w połączeniu z niezależnie generowanymi źródłami entropii, zapewniają obronę w głąb, której żadne pojedyncze urządzenie nie może dorównać. Incydent Coldcard pokazuje, że nawet najbardziej zaufane urządzenie może zawieść w sposób niewidoczny dla użytkownika, dopóki środki nie znikną.
Szersze pytanie brzmi, czy procesy przeglądu bezpieczeństwa w branży portfeli sprzętowych są odpowiednie dla aktywów, które chronią. Strata 38 milionów dolarów z powodu pojedynczego błędu w oprogramowaniu układowym sugeruje, że nie są. Model samodzielnego przechowywania, który promują zwolennicy bitcoina, wymaga narzędzi powierniczych spełniających standard niezawodności porównywalny z infrastrukturą bankową, którą starają się zastąpić. Po Coldcard ten standard nie został spełniony.
Na co zwrócić uwagę
- **Przemieszczanie przez atakującego 562 BTC konsolidacji.** Czy środki zostaną zmieszane, wysłane na giełdy, czy pozostaną na miejscu, dostarczy informacji o zaawansowaniu atakującego i jurysdykcji. Firmy analityczne już monitorują adres.
- **Dodatkowe dotknięte portfele poza początkowymi 500.** Atakujący mógł obliczyć klucze dla dodatkowych portfeli, ale zdecydował się nie przeszukiwać ich jednocześnie. Całkowita ekspozycja wszystkich dotkniętych modeli Coldcard może być znacznie większa niż początkowe 38 milionów dolarów.
- **Tempo migracji użytkowników.** Coinkite nie może zmusić użytkowników do wygenerowania nowych ziaren. Liczba portfeli, które pozostaną na skompromitowanych ziarnach po 30, 60 i 90 dniach, wskaże, jak skutecznie ostrzeżenie dotarło do dotkniętej bazy użytkowników.
- **Reakcja regulacyjna.** Strata 38 milionów dolarów spowodowana błędem w oprogramowaniu układowym producenta w produkcie finansowym dla konsumentów wywołałaby działania regulacyjne w tradycyjnych finansach. To, czy agencje ochrony konsumentów lub organy regulacyjne ds. finansów zareagują na ten incydent, wskaże, jak rządy klasyfikują portfele sprzętowe.
- **Ujawnienia dotyczące bezpieczeństwa konkurencyjnych producentów.** Block, Trezor i Ledger potwierdziły, że nie są dotknięte. To, czy opublikują szczegółowe analizy techniczne własnych procesów generowania entropii, wskaże, czy branża traktuje to jako specyficzną awarię Coldcard, czy jako okazję do systemowego przeglądu.
Często zadawane pytania
Ile bitcoinów zostało skradzionych w exploit Coldcard?
Około 594 BTC, warte około 38 milionów dolarów, zostało wyprowadzonych z około 500 portfeli sprzętowych Coldcard w 25 minut 31 lipca 2026 roku. Środki zostały skonsolidowane na jednym adresie zawierającym 562 BTC.
Co spowodowało podatność Coldcard?
Błąd kompilacji w oprogramowaniu układowym Coldcard spowodował, że generowanie ziarna używało programowego generatora liczb losowych z MicroPython zamiast sprzętowego generatora liczb losowych. Zabezpieczenie preprocesora sprawdzało tylko, czy ustawienie konfiguracyjne jest zdefiniowane, a nie jego wartość, więc kompilacja połączyła się z niewłaściwą implementacją bez ostrzeżenia.
Jak słabe były dotknięte ziarna?
Ziarna Mk3 miały około 40 bitów efektywnej entropii zamiast zamierzonych 128 bitów. Ziarna Mk4, Q i Mk5 miały około 72 bitów z powodu dodatkowej entropii z ich elementów bezpiecznych. Przestrzeń kluczy 40-bitowa jest możliwa do złamania metodą brute force przy użyciu powszechnego sprzętu.
Czy aktualizacja oprogramowania układowego rozwiązuje problem?
Nie. Aktualizacja oprogramowania układowego koryguje przyszłe generowanie ziaren, ale nie naprawia ziarna już utworzonego na dotkniętym oprogramowaniu. Użytkownicy muszą wygenerować nowe ziarno na załatanych urządzeniach i przenieść wszystkie środki do nowego portfela.
Które modele Coldcard są dotknięte?
Każdy obecny model jest dotknięty w pewnym stopniu. Mk3 jest najbardziej dotknięty z 40 bitami entropii. Mk4, Mk5 i Q są dotknięte na poziomie około 72 bitów. Tapsigner, Opendime i Satscard używają innego kodu i nie są dotknięte.
Czy inne portfele sprzętowe są dotknięte?
Block, Trezor i Ledger potwierdziły, że ich produkty nie są dotknięte. Block opublikował niezależną analizę techniczną. Trezor stwierdził, że jego urządzenia używają innego podejścia do generowania entropii. Podatność jest specyficzna dla procesu budowania oprogramowania układowego Coldcard.
Czy Coinkite wiedziało o błędzie przed atakiem?
Coinkite twierdzi, że odkryło wadę i opublikowało zalecenie 30 lipca, po zgłoszeniu błędu. Firma twierdzi, że przeprowadziła przegląd swojego oprogramowania układowego za pomocą AI na tygodnie przed atakiem i przegląd nie wykrył problemu. Błąd istniał od marca 2021 roku.
Co powinni teraz zrobić właściciele Coldcard?
Zaktualizuj do najnowszego oprogramowania układowego dla swojego modelu. Wygeneruj nowy seed na naprawionym urządzeniu. Zweryfikuj kopię zapasową i adres odbiorczy. Wyślij transakcję testową. Przenieś pozostałe środki. Użytkownicy, którzy dodali co najmniej 50 niezależnych rzutów kostką podczas pierwotnego generowania seeda, mogą nie musieć migrować, ale Coinkite zaleca migrację niezależnie od tego.
