Coldcard-Firmware 5.6.1 zwingt Benutzer, ihre eigene Entropie in jeden neuen Seed nach dem $100M Exploit einzubringen

Coinkite, das Unternehmen hinter Coldcard, hat ein Firmware-Update veröffentlicht, das keinen neuen Wallet-Seed generiert, bis der Besitzer manuell Zufälligkeit bereitstellt.

Das bedeutet mindestens 50 Würfe mit Würfeln, 128 Münzwürfe oder 65 zeitgesteuerte Tasteneingaben, drei Wochen nachdem ein Defekt in seinem Zufallszahlengenerator die Kundengelder Angreifern ausgesetzt hat.

Die beiden Geräteserien von Coldcard laufen auf separaten Firmware-Tracks, sodass die Veröffentlichung zwei Nummern trägt, 5.6.1 für die Mk4 und Mk5 und 1.5.1Q für das Q, das größere Modell mit einer Tastatur und QR-Scanning.

Boot-Check zielt auf den Defekt ab

Coinkite erklärte, dass die Eingabe zusätzlich zur Gerätezufälligkeit vom STM32 TRNG und beiden sicheren Elementen hinzugefügt wird.

Coldcard wurde entwickelt, um Seed-Entropie nur aus seinem Hardware-Generator zu beziehen, aber Coinkite verfolgte den Fehler auf einen Build- und Linkfehler zurück, der die Einstellung, die den Softwarepfad deaktivieren sollte, ohne Wirkung ließ und den Zufallszahlaufruf an MicroPythons Yasmarang PRNG sendete, der im März 2021 in den Seed-Pfad eintrat.

Betroffene Seeds tragen etwa 72 Bits Entropie anstelle der erwarteten 128 Bits, nachdem am 30. Juli 594,5 BTC von 500 Adressen abgehoben wurden.

Firmware 5.6.1 überprüft jetzt beim Booten, dass der Zufallszahlaufruf den vorgesehenen Hardwarepfad erreicht, und stoppt das Gerät, wenn dies fehlschlägt. Coinkite ersetzte Yasmarang durch einen SHA-256 Hash_DRBG, der in NIST SP 800-90A spezifiziert ist, und initialisiert ihn beim Start mit einem vollständigen 256-Bit-Digest von beiden sicheren Elementen, das frühere Firmware auf 32 Bits gekürzt hatte.

Key-Mashing folgt Peter Todds Push-Button-RNG-Design, das die Zeitstempel der Tasteneingaben mit CPU-Zyklusauflösung hasht. Der erste Druck setzt einen Referenzwert, und jede der 64 folgenden Lücken wird mit zwei Bits Entropie gewertet.

Alte Seeds müssen weiterhin migriert werden

„Die Installation dieses Updates macht einen bestehenden anfälligen Seed nicht sicher“, schrieb Coinkite und wies alle darauf hin, deren Seed möglicherweise zwischen 2021 und Juli 2026 auf betroffener Firmware generiert wurde, einen Ersatz zu erstellen und ihre Bitcoins (BTC) zu verschieben. Mk2 und Mk3 fallen außerhalb dieses Releases, und ihre minimale feste Version bleibt bei 4.2.0.

Ein kompromittierter USB-Host könnte eine gestaffelte Transaktion nach Genehmigung durch den Eigentümer umschreiben, sodass die Signatur unterschiedliche Ausgaben abdeckte. Das Gerät überprüft jetzt diese Bytes vor der Signatur erneut und stoppt mit einer Warnung „Transaktion geändert“.

Die neue Sicherheitsstatusseite von Coinkite listet vier unabhängige Überprüfungen auf, darunter einen Test mit echtem Gerät, der acht Hardware-RNG-Lesungen für eine 32-Byte-Seed-Anfrage beobachtete und einen Wiederaufbau, der jedes Byte der signierten Firmware übereinstimmte.

Das Unternehmen stellte fest, dass die Überprüfungen „keine vollständige Prüfung jeder Firmware-Binärdatei“ sind. Wie CryptoPotato berichtete, überstiegen die bestätigten Verluste 100 Millionen Dollar, wobei Galaxy Research 1.596 BTC aus etwa 7.300 Adressen zählte, und eine vermutete vierte Welle fast 449 BTC am 3. August fegte.

Quelle: CryptoPotato