Биткоинеры переосмысляют самоконтроль после взлома Coldcard

После взлома аппаратных кошельков Coldcard, связанного с уязвимостью в генерации случайных чисел, пользователи Биткоина начали переосмысливать свои методы самоконтроля и генерации ключей.

Взлом Coldcard, произошедший 30 июля, стал результатом уязвимости в генерации случайных чисел, что привело к краже более 100 миллионов долларов в Биткоине. Уязвимость была связана с переходом на использование генератора псевдослучайных чисел MicroPython вместо аппаратного генератора случайных чисел STM32.

Согласно оценкам Coinkite, устройства Mk2 и Mk3 генерировали ключи с 40 битами энтропии, в то время как более новые модели Mk4, Mk5 и Q достигали лишь 70 бит. Для безопасной 12-словной фразы требуется минимум 128 бит энтропии.

Атака на Coldcard продемонстрировала важность физической энтропии в процессе генерации ключей. Пользователи, которые использовали броски кубиков для создания своих ключей, смогли защитить свои средства от взлома.

Методы генерации ключей с использованием бросков кубиков становятся все более популярными. Например, для создания 24-словной фразы достаточно 100 бросков кубиков. Некоторые пользователи также используют альтернативные методы, такие как разрезание слов BIP-39 на бумажки и случайный выбор.

В ответ на взлом, James O’Beirne создал сайт cktripwire, который отслеживает адреса, на которые нападают злоумышленники, чтобы оценить, какие типы кошельков наиболее уязвимы.

Некоторые пользователи начали разрабатывать собственные устройства для генерации энтропии, которые могут создавать фразы так же быстро, как и электронные устройства. Это подчеркивает стремление сообщества к более безопасным методам самоконтроля.

Несмотря на недавние события, многие в сообществе продолжают верить в важность самоконтроля и проверяемости. Использование прозрачных методов генерации ключей позволяет минимизировать риски, связанные с удаленными атаками.