С 30 июля по 1 августа неизвестные в три волны опустошили 4585 адресов, украв 1367 BTC — около $88,6 млн. Без фишинга, без малвари и без физического доступа к устройствам.
Конечно, уязвимость - один коммит из 2021 года, когда разработчики Coldcard меняли криптографическую библиотеку. Генерацию сида переключили с собственной функции, получавшей случайные числа от аппаратного генератора STM32, на
ngu.random.bytes().Выглядело нормально. Собиралось нормально.
Только на реальном устройстве вызов уходил не к аппаратному генератору, а в детерминированный программный генератор MicroPython.
Начальным состоянием для него служили уникальный номер микроконтроллера и значения нескольких таймеров. То есть вместо нормальной криптографической случайности получалась довольно небольшая область возможных вариантов - оставалось около 40 бит энтропии вместо ожидаемых 128. А это уже можно искать перебором offline – генерировать возможные сиды, получать из них адреса и сравнивать их с блокчейном.
Пять лет ошибка лежала в открытом коде. Репутация одного из самых защищённых биткойн-кошельков, публичные исходники и воспроизводимые сборки не помогли.
Компания предполагает, что атакующий нашёл ошибку с помощью ИИ, потому что исходники старых прошивок были доступны всем. При этом за несколько недель до атаки Coinkite сама отдала код на проверку «одной из лучших доступных моделей». Та не нашла ни этой ошибки, ни вообще ничего серьёзного.
Простое обновление прошивки ничего не исправляет. Если сид был создан уязвимой версией, он таким и останется. Нужно создавать новый кошелёк и переводить на него средства.
Ну и две мои версии того, кто стоит за атакой. Варианты крайние:
Первая — наши usual suspects из Северной Кореи. Такой уровень подготовки и терпения вполне укладывается в их почерк.
Вторая — исследователь, который решил максимально громко продемонстрировать последствия ошибки и позже вернёт средства. В пользу этой версии говорит то, что пока похищенные биткойны остаются без движения. Хотя есть и странность: если первые две волны сводили средства на небольшое число адресов-коллекторов, то в третьей добычу распределили уже по 293 отдельным P2WSH-адресам. Может быть тут появился новый игрок.
@gostev_future