Coldcard Bitcoin Açığı ile Yaşanan Sorun Ve Soğuk Cüzdanların Güvenilirliği
Coldcard cüzdanlarındaki bir güvenlik açığı, Bitcoin sahiplerine 100 milyon dolardan fazla zarar verdi ve zarların güvenilir olup olmadığına dair eski bir tartışmayı yeniden alevlendirdi.
Özetle:
- Bir yazılım hatası nedeniyle Coldcard cüzdanları, tohum değerlerini donanım çipi yerine yazılım tabanlı bir sözde rastgele sayı üreteci kullanarak oluşturuyordu.
- Bu hata, eski modellerde arama alanını 128 bitten yaklaşık 40 bite kadar küçültmüştü.
- İşte tüm bunların anlamı ve 130 milyon dolardan fazla Bitcoin’in çalınmasına nasıl yol açtığı.
Birileri, erişilememesi gereken Bitcoin cüzdanlarını boşaltıyor.
Kripto paralar, Kanadalı üretici Coinkite’ın donanım cüzdanları olan Coldcard cihazlarında saklanıyordu; bu cihazlar internete asla bağlanmıyordu. Kimlik avı bağlantısı yoktu. Kötü amaçlı yazılım yoktu. Çalınmış bir dizüstü bilgisayar da yoktu. Saldırganlar sadece özel anahtarların ne olduğunu çözdüler.
Galaxy Research, üç teyit edilmiş dalgada 1.596 BTC’den fazla çalınan paranın izini sürdü ve dördüncü bir dalganın da toplam miktarı yaklaşık 2.055 BTC’ye (mevcut fiyatlarla yaklaşık 130 milyon dolar) çıkaracağından şüpheleniliyor. Bir saldırıda 41 dakika içinde 70 milyon dolar çalındı. Coinkite, en az 15 ayrı saldırganın bu işe dahil olduğunu söylüyor.
Şirket, 1 Ağustos’ta yaşanan sorunları açıklayan teknik bir bilgilendirme belgesi yayınladı . Bu, alışılmadık derecede açık sözlü bir belge ve kısaca özetlemek gerekirse, cüzdan sekiz yıl boyunca kimse fark etmeden hileli zarlar atıyordu.
Sıfır hala bir şeydir.
2021’de Coinkite, Coldcard’ın kriptografisini Bitcoin Core’un da kullandığı libsecp256k1 kütüphanesine taşıdı. Doğru bir karardı. Ancak entegrasyon aşamasında işler ters gitti.
Bu geçiş işlemi, tohum üretimini Coldcard’ın kendi donanım rastgele sayı üretecisinden uzaklaştırarak MicroPython’ın yazılım yedekleme mekanizmasına, yani hiç rastgele sayı üreteci bulunmayan cihazlar için geliştirilmiş Yasmarang adlı küçük bir algoritmaya yönlendirdi.
Coldcard’da rastgelelik çipi var. Artık bu çipe ihtiyaç duyulmuyor.
Sebebi inanılması güç derecede küçük. Bir derleme koruyucusu, bir ayarın açık olup olmadığını değil, var olup olmadığını kontrol eden #ifndef ifadesini kullandı. Coinkite bu ayarı sıfır olarak tanımlamıştı, yani “kapalı”. Sıfır hala tanımlı sayıldığı için güvenlik kontrolü geçti ve derleme tamamlandı. Fonksiyonun her iki sürümünün de imzaları aynıydı, bu yüzden hiçbir şey yanlış görünmüyordu.
Coinkite, “COLDCARD’daki rastgeleliğin büyük kısmı, aslında kaynak kod tabanında olduğunu bilmediğim bir sözde rastgele sayı üreteci (PRNG) yazılımından geliyordu,” diye yazdı. Bu yazılım, rastgele görünen ancak başlangıç değerinden sabit bir formülü izleyen sayılar üretir.
Tarife her seferinde aynı başlangıç değerini verirseniz, aynı sonucu alırsınız.
4.0.1 ile 4.1.9 arasındaki bellenim sürümlerini çalıştıran Mk2 ve Mk3 cihazlarda, bu başlangıç değeri çipin seri numarasından ve saatinden geliyordu. Coinkite, ortaya çıkan arama alanını yaklaşık 40 bit olarak tahmin ediyor. Daha yeni modeller biraz güvenli eleman entropisi ekleyerek bunu yaklaşık 72 bite çıkarıyor.
Hedef olan 128 de öyle değil.
Aradaki fark göründüğünden daha önemlidir. Bitler üslerdir. 128 bitlik bir arama alanı, gözlemlenebilir evrendeki atom sayısından daha fazla kombinasyon barındırır ve kimse bunu aramıyor. Kırk bit yaklaşık bir trilyondur; bu sayı, iyi bir dizüstü bilgisayarın işleyebileceği bir rakamdır. Kaybettiğiniz her bit, işi yarıya indirir.
Block’un kendi analizini yayınlayan mühendislik ekibi , yeni cihazların etkili güvenli eleman arama alanını 2^32 aday olarak belirledi ve ortalama olarak 2^31 deneme yapıldığını belirtti. Eski kartlar için değerlendirmeleri daha net: bilinen bir cihaz kimliği, zamanlayıcı durumu ve arama geçmişi için cüzdan oluşturma işlemi kesindir.
Deterministik ise rastgeleliğin tam tersidir ve bu da kriptografi için hayati önem taşır.
“Zayıf” değil. Tahmin edilebilir.
Coinkite, sorunun bir makine tarafından keşfedildiğinden şüpheleniyor. Şirket, “Birinin yapay zeka kullanarak ürün yazılımımızın önceki sürümlerini incelediğini ve bu soruna rastladığını varsaymak zorundayız” diye yazdı ve yakın zamanda aynı kod üzerinde mevcut en iyi yapay zeka modellerinden birini çalıştırdıklarını ve hiçbir şey bulamadıklarını ekledi. “Hem saldırganlar hem de savunucular aynı yapay zeka araçlarına sahip, ancak bugün bu araçlar bize yardımcı olmadı, sadece kötü adamlara yardımcı oldu.”
Etkilenen tüm modeller için düzeltilmiş yazılım yayınlandı. Mevcut kurtarma anahtarlarını onarmıyor; bu cüzdanların yeniden oluşturulması ve fonların taşınması gerekiyor. Decrypt, bu tür bir güvenlik açığı sonrasında fiziksel olarak izole edilmiş depolamanın nasıl değiştiğini ve kayıpların 114 milyon doları nasıl aştığını ele aldı .
Entropi aslında nedir?
Entropi, bir saldırganın ne kadar az şey bildiğinin ölçüsüdür.
Başka bir deyişle, bu temelde bitlerle sayılan bir belirsizliktir. Bir bit, bir madeni para atışına eşittir: iki sonuç ve tahmin eden kişi bunu yarı yarıya doğru tahmin eder. On bit, 1024 sonuç demektir. Her bit, tahmin edenin iş yükünü ikiye katlar.
Bitcoin cüzdanı, gizli tutulan çok büyük bir sayıdır. İnsanların para gönderdiği adres, bu sayıdan matematiksel olarak türetilir ve türetme işlemi yalnızca tek yönlüdür; anahtardan adrese gidebilirsiniz, ancak asla tersine gidemezsiniz.
Dolayısıyla her cüzdanın güvenliği tek bir soruya dayanır: Bir saldırganın kaç rakamı denemesi gerekir?
Eğer sayı 128 bit entropiyle seçilmişse, cevap “fiziğin izin verdiğinden daha fazla”dır. Eğer 40 bit entropiyle seçilmişse, cevap “bana biraz zaman verin”dir.
Bu , kuantum hesaplama tehdidini tartışmaya değer kılan aynı özelliktir : bir kuantum makinesi, anahtarı adrese bağlayan matematiğe saldırır. Coldcard hatasının buna hiç ihtiyacı olmadı. Matematik devreye girmeden önce anahtarları tahmin edilebilir hale getirdi.
İşte burada terminoloji biraz karmaşıklaşıyor. Sözde rastgele sayı üreteci, rastgelelik açısından istatistiksel testlerden geçen çıktılar üretir; yani temelde bir elektronik tablo programının işaretleyeceği hiçbir şey üretmez. Bu çıktı yine de tamamen başlangıç değerine bağlıdır. Rastgele görünür ama değildir.
İstatistiksel rastgelelik ve kriptografik öngörülemezlik farklı özelliklerdir ve Coldcard’ın çıktısı ilk testi sorunsuz bir şekilde geçerken ikinci testi tamamen geçemezdi.
Gerçek rastgelelik fiziksel gürültüden kaynaklanmalıdır: bir devredeki elektriksel titreşim, termal dalgalanma, radyoaktif bozunma. Coldcard’daki donanım çipi bunun içindi. Yapı bayrağının bağlantısını kestiği çip buydu.
Ardından Luke Dashjr zarları getirdi.
Kullanıcılar tohumları yeniden oluşturmak için çabalarken, birçoğu bariz düşük teknolojili çözüme yöneldi. Coldcard’lar, fiziksel zarları atmanıza ve sonuçları entropi olarak beslemenize olanak tanır. Coinkite’ın kendi kılavuzu, en az 50 bağımsız, özel zar atışıyla oluşturulan tohumların bu hatadan etkilenmeyeceğini belirtiyor.
Kulağa aptalca gelebilir ama şirket, tüm süreci sizin için kolaylaştırmak amacıyla “100 adet sevimli ve minik zar” içeren bir çanta satıyor .
31 Temmuz’da Bitcoin Core geliştiricisi Luke Dashjr bir uyarı yayınladı : “Birçok kişi Coldcard güvenlik açığını gidermek için zar kullanmayı öneriyor/kullanıyor. Unutmayın ki, sıradan zarlar kriptografik olarak güvenli olacak şekilde tasarlanmamıştır. Bunu yapacaksanız, muhtemelen hassas kumarhane zarları satın almalısınız. Ve hatta o zaman bile, başka bir entropi kaynağınız olsun.”
Bitcoin Twitter kullanıcıları bu durumu sakin karşılamadı.
“Haha, artık zar bile atamıyorsun,” diye yazdı bir kullanıcı . “Kendi velayetin bitti…” Başka bir kullanıcı ise Parkinson hastası birini zar atması için tutması gerekip gerekmediğini sordu. (Hiç hoş değil.)
Muhtemelen en faydalı yanıt aritmetik hesaplamalardan geldi. Geliştirici Justin Sharp, arızalı bir zarın size tam olarak ne kadara mal olduğunu hesapladı:
“Aşırıya kaçmak. Mükemmel bir d6 zarı, atış başına 2,585 bit verir. Örneğin, bir yüzün %16,7 yerine %20 oranında gelmesi gibi belirgin şekilde sapma gösteren bir zar bile yaklaşık 2,55 bit verir. 99 atış boyunca bu, ~256 bit ile ~252 bit entropi arasındaki farktır.”
256 bitten sadece 4 bit. Bu, apaçık adaletsiz bir zar için verilen cezanın tamamı.
Dashjr, ucuz zarların ölçülebilir bir sapmaya sahip olduğu konusunda haklı; enjeksiyon kalıplama yöntemiyle üretilen noktalar, her yüzeyden biraz farklı miktarda plastik çıkarıyor ve kumarhanelerin tam olarak bu nedenle hassas, tam dolu zarlar kullandığı da tam olarak bu. Fizik konusunda haklı, ancak riskler konusunda yanılıyor. 256’dan dört bit kaybetmek sizi 252’de bırakır. Coldcard’ın hatası kullanıcıları 40’ta bıraktı.
Ancak tavsiyesinin içinde daha keskin bir argüman gizli ve bu, üretim toleransıyla ilgili değil. Bu, tek bir kaynağa güvenmemekle ilgili. Coldcard’ın başarısızlığı, entropisinin biraz sapmalı olmasından kaynaklanmadı; bir bileşenin sessizce katkıda bulunmayı bırakması ve hiçbir şeyin bunu fark etmemesinden kaynaklandı.
Bu konuda ne yapılmalı?
Eğer etkilenen bir Coldcard üzerinde zar atmadan (gerçekten) veya güçlü bir BIP-39 parolası kullanmadan bir seed oluşturduysanız, bu seed tehlikeye girmiştir.
Firmware’i güncelleyin, yeni bir seed oluşturun, parmak izini doğrulayın, bir test işlemi gönderin, ardından her şeyi taşıyın. Coinkite’ın danışmanlığı bunu model model açıklıyor. Dışa aktarılan seed’ler kusuru da beraberinde taşıyor; hatalı bir seed’i farklı bir cüzdan uygulamasına taşımak hiçbir şeyi çözmüyor.
Diğer herkes için çıkarılacak ders, donanım cüzdanlarının bozuk olduğu veya zarların bir tuzak olduğu değil.
“Rastgele” bir iddiadır ve iddiaların doğrulanması gerekir. Coldcard’ın kaynak kodu baştan beri herkese açıktı. Amaçlanan donanım rastgele sayı üreteci (RNG) ikili dosyada zaten mevcuttu. İncelemeciler bunun var olduğunu doğruladılar, ancak tohum üretecinin gerçekten onu çağırdığını asla doğrulamadılar.
Sekiz yıl boyunca yapılan denetimlerde doğru kod incelendi. Ama çalışıp çalışmadığı kontrol edilmedi.
