Otto anni di Bitcoin andati in fumo in quindici minuti. Un errore del produttore hardware è costato già 1367 BTC

Un utente del subreddit r/Bitcoin sulla piattaforma sociale Reddit, con il nickname DuckDuckMoss, ha condiviso la sua storia con la comunità. Scrive che a causa di un errore nel software del portafoglio hardware ha perso i suoi 2 BTC accumulati per otto anni. Il suo post è uno dei centinaia di racconti simili emersi in rete dopo il 30 luglio, quando un autore sconosciuto ha iniziato a svuotare i portafogli creati su dispositivi Coldcard. Secondo i calcoli di Galaxy Research, finora sono scomparsi 1367 BTC dai conti delle vittime, pari a circa 88,6 milioni di dollari.

Fatti principali

• La causa è un errore di integrazione nel software di Coldcard, che dal marzo 2021 ha indirizzato la generazione delle frasi seed verso un generatore di numeri pseudocasuali software, prevedibile.
• Invece dei 128 bit di entropia previsti, i seed del modello Mk3 avevano circa 40 bit, mentre quelli del Mk4, Mk5 e Q circa 72 bit.
• Tre ondate di attacco hanno colpito 4585 indirizzi. Il bottino ammonta a 1367 BTC e finora non è stato toccato.
• Coinkite ha rilasciato un software di emergenza per tutti i modelli, ma l'aggiornamento non ripara i seed generati in precedenza.
• È riemerso il dibattito su se un investitore individuale debba o meno custodire autonomamente le chiavi private.

Una riga di codice di marzo 2021 alla base della crisi

Coldcard è un portafoglio hardware dell'azienda canadese Coinkite, che supporta esclusivamente Bitcoin ed è stato considerato per anni un dispositivo per i più esigenti. Il suo software funziona su un MicroPython modificato. Nella configurazione della scheda, il produttore ha disabilitato intenzionalmente il supporto integrato per il generatore hardware, poiché aveva una propria implementazione. Il problema è che la libreria libngu controllava solo se la flag appropriata esistesse, e non quale fosse il suo valore. La compilazione avveniva senza avvisi, e la funzione che richiedeva casualità finiva nel percorso di riserva software ereditato da MicroPython.

Questo generatore di riserva si inizializza una sola volta, alla prima chiamata, sulla base del numero di serie del chip e dello stato degli orologi. Nessuno di questi valori è un segreto crittografico. Il numero di serie è fisso e parzialmente visibile anche nell'identificatore USB del dispositivo, e i registri temporali possono essere ridotti a un numero limitato di possibilità. Una ricostruzione dettagliata è stata pubblicata dal team di sicurezza di Block in un rapporto tecnico sul generatore di emergenza nel firmware di Coldcard.

La modifica è entrata nel repository il 1 marzo 2021, e nel software rilasciato il 17 marzo con la versione 4.0.0. Tutti gli indirizzi svuotati sono stati creati dopo questa data. L'attaccante non ha dovuto toccare alcun dispositivo. Era sufficiente riprodurre i possibili flussi casuali, estrarre da essi gli indirizzi e confrontarli con la blockchain pubblica.

Tre ondate e 4585 indirizzi

Il primo rastrellamento dei portafogli è avvenuto dalle 3:10 alle 3:51 ora polacca del 30 luglio e si è distribuito su nove blocchi. Chainalysis ha calcolato che nei primi dieci minuti sono scomparsi oltre 30 milioni di dollari, e la più grande vittima singola ha perso circa 1,8 milioni di dollari. Le stime iniziali parlavano di 594 BTC da meno di 500 portafogli. Ulteriori analisi di Galaxy Research hanno aumentato questo numero a 1082, poi a 1158, fino a quando il 1 agosto è stata rilevata la terza ondata, in cui da 1912 indirizzi sono stati estratti ulteriori 207,73 BTC. Questa volta l'autore ha preso saldi dell'ordine di alcune migliaia di dollari, accontentandosi di "spiccioli".

I fondi rubati giacciono intatti sugli indirizzi dell'attaccante. Gli analisti notano che tutte le transazioni avevano la stessa tariffa di commissione e non generavano resto, il che consente di raggrupparle, ma di per sé non prova nulla. Un trasferimento collettivo appare identico indipendentemente dal fatto che le monete siano trasferite dal ladro o dal proprietario.

La società Coinkite ha pubblicato un avviso pertinente il 30 luglio e il giorno successivo ha rilasciato un software corretto per tutti i modelli e per entrambi i percorsi di pubblicazione. Tuttavia, il produttore sottolinea nel comunicato ufficiale sulla sicurezza che l'aggiornamento protegge solo i nuovi seed e non ripara quelli già creati. Sono al sicuro coloro che, durante la creazione del portafoglio, hanno aggiunto almeno 50 lanci di dadi onesti e non registrati. Una forte e unica password BIP-39 crea un portafoglio separato e rende realmente più difficile la situazione, ma il produttore raccomanda comunque la migrazione. Il multisig protegge solo se il quorum non è composto esclusivamente da dispositivi vulnerabili. Le schede TAPSIGNER, OPENDIME e SATSCARD funzionano con un altro codice e il problema non le riguarda.

Gli investitori medi dovrebbero proteggere la propria chiave?

Rodolfo Novak, CEO di Coinkite, ha scusato gli utenti e si è assunto la responsabilità per l'errore, ammettendo che le revisioni interne del codice non lo hanno rilevato. Ha suggerito che la vulnerabilità potrebbe essere stata trovata da un'intelligenza artificiale passata attraverso versioni precedenti del firmware open source. Alcune settimane prima, l'azienda aveva passato lo stesso codice attraverso uno dei migliori modelli disponibili e non aveva ricevuto alcun segnale di avviso. Tuttavia, alcuni ricercatori ritengono che il tema dell'IA distolga l'attenzione da un banale errore ingegneristico che un normale audit di generazione delle chiavi avrebbe dovuto rilevare anni fa.

Le reazioni del settore sono state dure. Il commentatore Guy Swann ha definito questo il colpo più doloroso nella storia di Bitcoin inflitto a coloro che si erano protetti correttamente, poiché questa volta non si tratta di un exchange con chiavi calde, ma di migliaia di portafogli privati. Lorenzo Valente di ARK Invest ha affermato chiaramente che i clienti hanno scambiato il rischio controparte con il rischio di software, hardware, catena di fornitura e il proprio errore. Nick Neuman della società Casa critica la stessa raccomandazione del produttore, poiché aggiungere cinquanta lanci di dadi è impraticabile per la stragrande maggioranza degli utenti. David Lawrence di Amicus aggiunge che dopo tali eventi, i nuovi investitori sceglieranno ETF e fiduciari regolamentati.

Esattamente questa conclusione ha tratto l'autore di un post su Reddit, che si rammarica di non aver acquistato quote di un fondo d'investimento quando sono stati lanciati. Il suo caso individuale non è stato verificato pubblicamente, poiché non ha fornito né il modello del dispositivo né la versione del software. Galaxy Research avverte, invece, che l'elenco dei danneggiati potrebbe ancora crescere. La vulnerabilità è già pubblica e alcuni proprietari di seed vulnerabili non hanno ancora trasferito i fondi.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.