El defecto de generación de semillas de cinco años de Coldcard ha renovado los llamados para realizar pruebas independientes del firmware de las carteras de hardware después de que supuestos ataques hayan drenado casi 90 millones de dólares en Bitcoin de miles de carteras.
Resumen
- El director de seguridad de Kraken ha pedido pruebas independientes de la generación de semillas de las carteras de hardware después del fallo de seguridad de Coldcard.
- Supuestos ataques han drenado casi 90 millones de dólares en Bitcoin, con Galaxy Research rastreando más de 5,200 direcciones de víctimas potenciales.
- Coinkite ha lanzado firmware corregido pero dice que los usuarios afectados deben crear nuevas frases semilla porque las actualizaciones no pueden reparar carteras existentes.
- Investigadores de seguridad rastrearon el problema hasta un error de firmware que usaba un generador de números aleatorios más débil durante la creación de la cartera.
El director de seguridad de Kraken, Nick Percoco, dijo en una publicación en X el domingo que el incidente debería servir como una advertencia para la industria de las carteras de hardware, argumentando que los fabricantes no deberían ser los únicos en verificar cómo se generan las frases semilla de las carteras.
Dijo que el firmware de producción debería someterse a pruebas independientes para confirmar que la fuente de aleatoriedad aprobada es la que realmente se usa al crear los secretos de la cartera.
Según el último análisis de blockchain de Galaxy Research, los supuestos atacantes han barrido ahora más de 1,800 BTC de más de 5,200 direcciones de víctimas potenciales en cuatro oleadas de ataques observadas, aunque la firma ha enfatizado que esas cifras son estimaciones en cadena y no pérdidas confirmadas. Coinkite no ha verificado cada cartera afectada, y los datos de blockchain por sí solos no pueden determinar si un solo actor llevó a cabo todos los ataques.
El fallo de Coldcard escapó a la revisión durante más de cinco años
Coinkite reveló el jueves que la vulnerabilidad se remonta a marzo de 2021, cuando la empresa migró parte de su firmware mientras integraba una nueva biblioteca criptográfica.
En lugar de usar el generador de números aleatorios verdaderos respaldado por hardware de Coldcard para crear semillas de cartera, el firmware actualizado accidentalmente llamó a un generador pseudoaleatorio determinista más débil proporcionado por MicroPython.
Según el análisis post-mortem de Coinkite, el generador de números aleatorios previsto permaneció activo en otras partes del firmware, lo que permitió que las revisiones de código verificaran su presencia sin revelar que la creación de carteras dependía de una fuente de entropía diferente.
La empresa dijo que no sabía que el generador de MicroPython existía en la ruta de código relevante hasta la investigación. Aunque el generador de números aleatorios de hardware continuó operando para otras funciones, ya no era responsable de generar nuevos secretos de cartera.
El equipo de ingeniería y seguridad de Bitcoin de Block llegó de forma independiente a la misma conclusión durante su revisión técnica. La empresa dijo que el firmware afectado invocaba el respaldo determinista de MicroPython en lugar del generador de números aleatorios de hardware STM32 al crear semillas de cartera. Aunque Block dijo que no había completado pruebas empíricas completas de cada dispositivo, decidió divulgar sus hallazgos porque ya habían surgido informes de robo activo.
Coinkite estima que las semillas creadas en dispositivos Mk2 y Mk3 afectados pueden contener alrededor de 40 bits de entropía efectiva, mientras que los modelos Mk4, Mk5 y Q afectados pueden contener alrededor de 72 bits en lugar de los 128 bits previstos.
Las pruebas de carteras de hardware han carecido de verificación de entropía
Usando el incidente de Coldcard como ejemplo, Percoco argumentó que la certificación de carteras de hardware ha pasado por alto una de las partes más importantes de la seguridad de las carteras.
Dijo que los usuarios actualmente tienen que confiar en que los fabricantes implementen correctamente la generación de semillas porque ningún proceso independiente verifica que el firmware de producción realmente llame a la fuente de entropía aprobada. Las certificaciones existentes, incluidas las evaluaciones Common Criteria para elementos seguros, las revisiones CSPN y las auditorías patrocinadas por proveedores, no validan sistemáticamente esa relación, según Percoco.
Para ilustrar la brecha, señaló el NIST SP 800-90B, el estándar estadounidense que rige el diseño y la validación de generadores de números aleatorios verdaderos utilizados en sistemas criptográficos, junto con el marco BSI AIS-31 de Alemania, que establece requisitos de prueba similares. Argumentó que actualmente no existe una verificación integral de extremo a extremo para las carteras de hardware.
Percoco también comparó el sector con la seguridad de pagos, señalando que los dispositivos de entrada de PIN no pueden enviarse sin pruebas de laboratorio independientes, mientras que los módulos criptográficos del gobierno de EE. UU. requieren validación de la fuente de entropía antes de su aprobación.
Los usuarios de Coldcard aún necesitan nuevas semillas de cartera
Mientras la actividad de ataque continuaba durante el fin de semana, Coinkite dijo que había detenido todos los envíos después de confirmar la vulnerabilidad y destruyó todos los dispositivos restantes en sus instalaciones que contenían el firmware afectado.
Sin embargo, la empresa aconsejó a los clientes no desechar los dispositivos afectados porque podrían ser importantes si los fondos robados se recuperan eventualmente mediante procedimientos legales. Coinkite agregó que su equipo legal coordinaría con las agencias de aplicación de la ley en múltiples jurisdicciones cuando corresponda.
Ya se han publicado actualizaciones de firmware para todos los modelos afectados, incluida la versión 4.2.0 para Mk2 y Mk3, la versión 5.6.0 para Mk4 y Mk5, la versión 1.5.0Q para Coldcard Q, y las versiones 6.6.0X y 6.6.0QX para las versiones Edge. Según la empresa, instalar el firmware actualizado solo corrige la creación futura de carteras y no fortalece las frases semilla generadas antes del parche.
Por esa razón, se instruye a los usuarios cubiertos por el aviso a generar frases semilla completamente nuevas después de actualizar sus dispositivos, verificar una dirección de recepción, enviar una pequeña transacción de prueba y migrar el saldo restante solo después de confirmar que la transferencia fue exitosa.
Coinkite dijo que las carteras creadas con al menos 50 lanzamientos de dados justos y privados no se consideran expuestas solo por la falla de generación de números aleatorios. La empresa agregó que una frase de contraseña BIP-39 fuerte y única proporciona otra capa de protección pero no elimina la debilidad de una semilla ya afectada, lo que significa que la migración sigue siendo la acción recomendada.
Los ataques en curso continúan ampliando las pérdidas conocidas
Un análisis separado de blockchain de Galaxy Research indica que los ataques han continuado desde que la vulnerabilidad se hizo pública.
Alex Thorn, jefe de investigación de Galaxy, identificó una sospechosa cuarta ola de ataques coordinados el 3 de agosto, lo que eleva el total observado por la firma a aproximadamente 1.815,75 BTC en 5.294 direcciones de víctimas potenciales si ninguno de los grupos de direcciones se superpone. Thorn describió las carteras como "posibles víctimas de Coldcard" y enfatizó que las cifras provienen del análisis de blockchain, no de registros confirmados de dispositivos o hallazgos de las autoridades.
Galaxy también informó que la actividad de ataque alcanzó 13,8 barridos de carteras por bloque durante la última ola, en comparación con una línea base de 0,3 barridos por bloque antes del incidente. La firma observó que la mayoría de los saldos de las víctimas se enviaron a direcciones recién creadas en lugar de una única cartera de recolección, mientras que algunos fondos ya habían pasado por transacciones de segundo salto, lo que hace que los bitcoins robados sean más difíciles de rastrear.
Según Galaxy, los usuarios cuyos fondos robados permanecen en transacciones de Bitcoin no confirmadas aún pueden tener una oportunidad limitada de transmitir una transacción de reemplazo con tarifa más alta antes de que los mineros confirmen la transferencia original.
Citando la documentación de Bitcoin Core, la firma de investigación señaló que Replace-by-Fee solo se puede intentar mientras la transacción permanezca no confirmada y no garantiza la recuperación incluso cuando el propietario legítimo aún controla las claves afectadas.
