A falha de cinco anos na geração de sementes da Coldcard renovou os pedidos por testes independentes do firmware de carteiras de hardware, após ataques suspeitos terem drenado quase US$ 90 milhões em Bitcoin de milhares de carteiras.
Resumo
- O diretor de segurança da Kraken pediu testes independentes da geração de sementes de carteiras de hardware após a falha de segurança da Coldcard.
- Ataques suspeitos drenaram quase US$ 90 milhões em Bitcoin, com a Galaxy Research rastreando mais de 5.200 endereços de vítimas em potencial.
- A Coinkite lançou firmware corrigido, mas afirma que os usuários afetados devem criar novas frases-semente, pois as atualizações não podem reparar carteiras existentes.
- Pesquisadores de segurança rastrearam o problema a um erro de firmware que usava um gerador de números aleatórios mais fraco durante a criação da carteira.
O diretor de segurança da Kraken, Nick Percoco, disse em uma postagem no X no domingo que o incidente deve servir como um aviso para a indústria de carteiras de hardware, argumentando que os fabricantes não devem ser os únicos a verificar como as frases-semente das carteiras são geradas.
Ele disse que o firmware de produção deve passar por testes independentes para confirmar que a fonte de aleatoriedade aprovada é a realmente usada ao criar segredos de carteira.
De acordo com a mais recente análise de blockchain da Galaxy Research, atacantes suspeitos já varreram mais de 1.800 BTC de mais de 5.200 endereços de vítimas em potencial em quatro ondas de ataque observadas, embora a empresa tenha enfatizado que esses números são estimativas on-chain, não perdas confirmadas. A Coinkite não verificou todas as carteiras afetadas, e os dados de blockchain sozinhos não podem determinar se um único ator realizou todos os ataques.
Falha da Coldcard escapou da revisão por mais de cinco anos
A Coinkite divulgou na quinta-feira que a vulnerabilidade remonta a março de 2021, quando a empresa migrou parte de seu firmware ao integrar uma nova biblioteca criptográfica.
Em vez de usar o gerador de números aleatórios verdadeiro baseado em hardware da Coldcard para criar sementes de carteira, o firmware atualizado acidentalmente chamou um gerador pseudoaleatório determinístico mais fraco fornecido pelo MicroPython.
De acordo com a análise post-mortem da Coinkite, o gerador de números aleatórios pretendido permaneceu ativo em outras partes do firmware, permitindo que revisões de código verificassem sua presença sem revelar que a criação de carteiras dependia de uma fonte diferente de entropia.
A empresa disse que não sabia que o gerador MicroPython existia no caminho de código relevante até a investigação. Embora o gerador de números aleatórios de hardware continuasse operando para outras funções, ele não era mais responsável por gerar novos segredos de carteira.
A equipe de engenharia e segurança de Bitcoin da Block chegou independentemente à mesma conclusão durante sua revisão técnica. A empresa disse que o firmware afetado invocava o fallback determinístico do MicroPython em vez do gerador de números aleatórios de hardware STM32 ao criar sementes de carteira. Embora a Block tenha dito que não havia concluído testes empíricos completos de cada dispositivo, ela decidiu divulgar suas descobertas porque relatos de roubo ativo já haviam surgido.
A Coinkite estima que sementes criadas em dispositivos Mk2 e Mk3 afetados podem conter cerca de 40 bits de entropia efetiva, enquanto os modelos Mk4, Mk5 e Q afetados podem conter cerca de 72 bits em vez dos 128 bits pretendidos.
Testes de carteiras de hardware não têm verificação de entropia
Usando o incidente da Coldcard como exemplo, Percoco argumentou que a certificação de carteiras de hardware negligenciou uma das partes mais importantes da segurança de carteiras.
Ele disse que os usuários atualmente têm que confiar que os fabricantes implementam corretamente a geração de sementes, porque nenhum processo independente verifica se o firmware de produção realmente chama a fonte de entropia aprovada. Certificações existentes, incluindo avaliações Common Criteria para elementos seguros, revisões CSPN e auditorias patrocinadas por fornecedores, não validam sistematicamente essa relação, de acordo com Percoco.
Para ilustrar a lacuna, ele apontou para o NIST SP 800-90B, o padrão dos EUA que rege o design e a validação de geradores de números aleatórios verdadeiros usados em sistemas criptográficos, juntamente com a estrutura BSI AIS-31 da Alemanha, que define requisitos de teste semelhantes. Ele argumentou que a verificação ponta a ponta comparável não existe atualmente para carteiras de hardware.
Percoco também comparou o setor com a segurança de pagamentos, observando que dispositivos de entrada de PIN não podem ser enviados sem testes de laboratório independentes, enquanto os módulos criptográficos do governo dos EUA exigem validação da fonte de entropia antes da aprovação.
Usuários do Coldcard ainda precisam de novas sementes de carteira
Como a atividade de ataque continuou durante o fim de semana, a Coinkite disse que interrompeu todos os envios após confirmar a vulnerabilidade e destruiu todos os dispositivos restantes em suas instalações que continham o firmware afetado.
A empresa, no entanto, aconselhou os clientes a não descartarem os dispositivos afetados, pois eles podem se tornar importantes se os fundos roubados forem eventualmente recuperados por meio de processos legais. A Coinkite acrescentou que sua equipe jurídica coordenaria com agências de aplicação da lei em múltiplas jurisdições, quando apropriado.
Atualizações de firmware já foram lançadas para todos os modelos afetados, incluindo a versão 4.2.0 para Mk2 e Mk3, versão 5.6.0 para Mk4 e Mk5, versão 1.5.0Q para Coldcard Q, e versões 6.6.0X e 6.6.0QX para lançamentos Edge. De acordo com a empresa, instalar o firmware atualizado apenas corrige a criação futura de carteiras e não fortalece as frases-semente geradas antes do patch.
Por esse motivo, os usuários cobertos pelo aviso estão sendo instruídos a gerar frases-semente totalmente novas após atualizar seus dispositivos, verificar um endereço de recebimento, enviar uma pequena transação de teste e migrar o saldo restante somente após confirmar que a transferência foi bem-sucedida.
A Coinkite disse que carteiras criadas usando pelo menos 50 lançamentos de dados justos e privados não são consideradas expostas apenas pela falha de geração de números aleatórios. A empresa acrescentou que uma frase de recuperação BIP-39 forte e única fornece outra camada de proteção, mas não remove a fraqueza de uma semente já afetada, o que significa que a migração continua sendo a ação recomendada.
Ataques contínuos continuam a expandir as perdas conhecidas
Análises separadas de blockchain da Galaxy Research indicam que os ataques continuaram desde que a vulnerabilidade se tornou pública.
Alex Thorn, chefe de pesquisa da Galaxy, identificou uma suspeita quarta onda coordenada de ataques em 3 de agosto, elevando o total observado pela empresa para cerca de 1.815,75 BTC em 5.294 endereços de vítimas potenciais, se nenhum dos grupos de endereços se sobrepuser. Thorn descreveu as carteiras como "prováveis vítimas do Coldcard" e enfatizou que os números vêm de análises de blockchain, não de registros confirmados de dispositivos ou descobertas de aplicação da lei.
A Galaxy também relatou que a atividade de ataque atingiu 13,8 varreduras de carteira por bloco durante a onda mais recente, em comparação com uma linha de base de 0,3 varreduras por bloco antes do incidente. A empresa observou que a maioria dos saldos das vítimas foi enviada para endereços recém-criados em vez de uma única carteira de coleta, enquanto alguns fundos já haviam passado por transações de segundo salto, tornando o Bitcoin roubado mais difícil de rastrear.
De acordo com a Galaxy, os usuários cujos fundos roubados permanecem em transações de Bitcoin não confirmadas ainda podem ter uma oportunidade estreita de transmitir uma transação substituta com taxa mais alta antes que os mineradores confirmem a transferência original.
Citando a documentação do Bitcoin Core, a empresa de pesquisa observou que o Replace-by-Fee só pode ser tentado enquanto a transação permanecer não confirmada e não garante a recuperação mesmo quando o proprietário legítimo ainda controla as chaves afetadas.
