Аппаратный кошелёк, который создавал слишком предсказуемые ключи

Ошибка появилась ещё в 2021 году

Проблема возникла после изменения программного кода в 2021 году. Генерация seed-фразы должна была использовать аппаратный источник случайных чисел, но определённая часть программы обращалась к программному генератору.

В результате созданные на некоторых устройствах seed-фразы обладали недостаточной энтропией — мерой их непредсказуемости.

Для затронутых COLDCARD Mk3 компания оценила фактическую защищённость примерно в 40 бит вместо целевого уровня не менее 128 бит. Для некоторых Mk4, Mk5 и Q она могла составлять около 72 бит.

Это не означало, что два владельца обязательно получат одинаковые слова. Опасность состояла в другом: число вероятных вариантов становилось достаточно ограниченным, чтобы злоумышленник мог искать ключи вычислительным способом.

Кража без доступа к устройству

29 июля владельцы нескольких кошельков обнаружили неожиданные транзакции. На следующий день исследователи связали происходящее с ошибкой генерации seed-фраз.

Для такой атаки не требовалось похищать COLDCARD, узнавать PIN-код или заражать компьютер владельца. Если seed-фраза изначально была создана из недостаточно случайных данных, соответствующий закрытый ключ можно было искать вне устройства.

В обзоре Bitcoin Optech от 31 июля предварительная оценка потерь превышала 1 000 BTC. Авторы отдельно предупреждали, что цифра могла измениться по мере расследования.

Какие устройства и версии затронуты

В официальном руководстве COLDCARD перечислены следующие случаи: Mk2 и Mk3 — seed-фразы, созданные на прошивках от 4.0.1 до 4.1.9; Mk4 и Mk5 — seed-фразы, созданные до версии 5.6.0; Q — seed-фразы, созданные до версии 1.5.0Q; а также отдельные версии экспериментальной прошивки Edge, выпущенные до исправления.

Seed-фраза, безопасно созданная в другом кошельке и позднее импортированная в COLDCARD, не становилась слабее только из-за импорта. Ошибка относилась именно к созданию новых случайных данных внутри затронутой прошивки.

Исключением также могли быть кошельки, при создании которых владелец добавил не менее 50 независимых и никому не известных бросков игральной кости. Производитель рассматривает такую процедуру как отдельный источник достаточной случайности.

Почему обычного обновления недостаточно

Новая прошивка исправляет генерацию будущих seed-фраз, но не способна изменить уже существующую.

Если слабая seed-фраза была создана на затронутой версии, её восстановление на обновлённом устройстве не делает ключи безопасными. Клонирование кошелька и создание новой резервной копии также сохраняют прежнюю seed-фразу.

Официальная инструкция предлагает установить исправленную прошивку, создать полностью новую seed-фразу, проверить новый кошелёк и только после этого перевести в него средства. Старые адреса не следует использовать для новых поступлений.

Для кошельков с дополнительной passphrase, BIP85 или multisig необходимо проверить все связанные счета и определить, какие из них происходят от затронутой исходной seed-фразы.