Уязвимость Coldcard привела к выводу 594 BTC из сотен кошельков

Что произошло

Coinkite опубликовала предупреждение для Coldcard Mk3 и технический разбор после того, как выяснила, что сид-фразы, сгенерированные ее устройствами, были гораздо более предсказуемыми, чем должны были быть.

Уязвимость была использована рано утром в пятницу. Оценочный ущерб составил 594 BTC, около $38 млн. Средства были выведены примерно из 500 кошельков за 25 минут.

В чем была проблема

В прошивке Coldcard функция для получения случайности имела две реализации с одинаковыми сигнатурами: аппаратный генератор, написанный Coinkite, и программный резервный вариант, унаследованный от MicroPython.

Проверка препроцессора учитывала только то, определена ли настройка, но не проверяла ее значение. В результате сборка проходила с резервной реализацией без предупреждений, а генерация сид-фраз использовала ее с момента миграции в марте 2021 года.

Какие устройства затронуты

По оценке Coinkite, все текущие модели затронуты в разной степени. Для Mk3 эффективное пространство поиска сид-фразы оценивается примерно в 40 бит вместо предусмотренных 128 бит.

Дополнительная энтропия от защищенных элементов в Mk4, Q и Mk5 повышает показатель примерно до 72 бит. Компания считает это заметным улучшением, но не достижением целевого уровня. Tapsigner, Opendime и Satscard используют другой код и не затронуты.

Что рекомендует Coinkite

Coinkite выпустила экстренный патч: версию 5.6.0 для Mk4 и Mk5 и 1.5.0Q для Q. Однако простое обновление не исправляет сид-фразу, уже созданную на уязвимой прошивке.

Владельцам нужно создать новую сид-фразу на обновленном устройстве. Компания также рекомендует использовать сильную парольную фразу BIP-39, не менее 99 бросков кубика или оба варианта. Для владельцев Mk3, который уже не поддерживается, предусмотрен отдельный путь миграции.

Реакция других производителей

Trezor отметил, что сид-фраза, созданная на уязвимом Coldcard, остается слабой даже после восстановления на устройстве другого бренда, при этом заявил, что средства его пользователей в безопасности.

Block опубликовала независимый анализ и сообщила, что ее продукты не затронуты. Руководитель аппаратного направления Block Max Guise призвал пользователей, которые могли оказаться под риском, перевести средства, как только это можно будет сделать безопасно.