Falha de RNG na Coldcard: Coinkite divulga cinco anos de falha de entropia após roubo em massa de bitcoin

O que a Coinkite divulgou

A Coinkite confirmou que uma migração de firmware em março de 2021 introduziu um erro de integração no qual ngu.random passou a recorrer ao gerador determinístico Yasmarang do MicroPython, em vez do RNG de hardware STM32 do dispositivo. As sementes produzidas sob as versões afetadas, portanto, se apoiaram em substancialmente menos entropia do que o projeto pretendia — aproximadamente 72 bits contra uma meta de 128.

A distinção importa. 128 bits de entropia não são passíveis de busca exaustiva. 72 bits são uma proposição inteiramente diferente para um atacante com bons recursos diante de um conjunto de alvos específico e enumerável.

A varredura

A cobertura sobre a escala do roubo varia conforme o veículo e conforme a data em que a contagem foi feita, e a Conisec relata essa divergência em vez de escolher um número. A CoinDesk noticiou uma varredura de 594 BTC em 25 minutos em 31 de julho. O The Hacker News noticiou cerca de US$ 70 milhões levados em uma janela de 41 minutos. A Crypto Briefing situou o número em aproximadamente 1.367 BTC — perto de US$ 89 milhões — distribuídos por 4.585 endereços, ao longo de várias ondas a partir de 30 de julho. A Fortune noticiou em seguida um total de US$ 116 milhões.

Esses números não são tanto contraditórios quanto cumulativos: as contagens foram feitas em momentos diferentes de uma varredura em andamento. Vamos atualizar este registro à medida que as partes afetadas publicarem totais confirmados.

O problema do momento

O detalhe mais desconfortável é a sequência dos fatos. A cobertura indica que uma parcela substancial do roubo ocorreu em 30 de julho — o mesmo dia da correção e horas antes de o alerta chegar à maioria dos usuários. Quem estava explorando a falha a compreendia antes de a divulgação acontecer.

Essa é a tensão perene da divulgação coordenada: uma correção é, em si, um sinal e, para um defeito que afeta chaves que já existem, corrigir não protege ninguém retroativamente. O novo firmware conserta a geração de sementes daqui em diante. Ele não consegue acrescentar entropia a uma semente criada em 2022.

O que a Conisec não vai mandar você fazer

A Coinkite orientou os usuários afetados a migrar os fundos para sementes recém-geradas, a menos que a entropia tenha sido complementada de forma independente ou que uma frase-senha BIP-39 forte estivesse em uso. Essa é a instrução da Coinkite aos seus próprios clientes, e nós a relatamos como sendo dela. A Conisec não diz aos leitores para movimentar fundos — colocamos o link do alerta do fabricante e deixamos que as instruções do próprio emissor valham por si. Veja nossas diretrizes editoriais para entender por quê.

Também não vamos colocar link para nenhuma ferramenta de terceiros de “verificação”, “migração” ou “recuperação”. Depois de uma divulgação desse tamanho, elas aparecem em questão de horas, se posicionam bem nas buscas e são o segundo ataque. Chegue à Coinkite por um canal que você já tinha.

Por que este caso é diferente

A maioria dos incidentes com carteiras de hardware no nosso rastreador envolve o usuário aprovando algo que não entendeu — o comprometimento do Ledger Connect Kit é o caso mais claro. O dispositivo se comportou corretamente; o humano foi enganado.

Aqui o dispositivo não se comportou corretamente. A única coisa que uma carteira de hardware existe para garantir — que a sua chave foi gerada de forma impossível de adivinhar, dentro do dispositivo, fora do alcance do software — não era verdade, e ninguém soube disso por cinco anos. É uma falha de cadeia de suprimentos no sentido mais literal: o caminho alternativo de uma dependência substituiu silenciosamente uma garantia de hardware.