Robo masivo de Bitcoin en 41 minutos
Un atacante drenó 1,196 direcciones de Bitcoin en 41 minutos el 30 de julio, sustrayendo 1,082.65 BTC, valorados en aproximadamente 70.2 millones de dólares en ese momento. Galaxy Research mapeó el barrido y lo vinculó a una falla de firmware en la cartera de hardware Coldcard, fabricada por la empresa canadiense Coinkite.
Origen de la vulnerabilidad
Un error de integración de firmware en marzo de 2021 desvió la generación de semillas hacia un generador de números pseudoaleatorios determinista de software (PRNG) en lugar del generador de números aleatorios de hardware (RNG) STM32. Según Block, un atacante que pueda determinar o restringir suficientemente el UID del dispositivo, el estado del temporizador y el historial de llamadas al RNG puede reproducir flujos candidatos fuera de línea sin acceder al dispositivo. Las semillas candidatas se pueden verificar derivando sus direcciones y comparándolas con los datos públicos de la cadena de bloques.
Respuesta de Coinkite
Coinkite lanzó firmware de emergencia para todos los modelos afectados el 31 de julio, pero la instalación no repara una semilla existente. Coinkite insta a los propietarios con semillas expuestas a generar una nueva en firmware actualizado y mover sus monedas. Restaurar la semilla antigua en firmware actualizado u otra cartera mantiene la debilidad. Ningún informe público ha reconstruido la semilla de una víctima y la ha asociado con una dirección drenada.
Detalles técnicos de la falla
Block rastreó la falla hasta la configuración de producción de Coldcard, que define MICROPY_HW_ENABLE_RNG como cero porque Coinkite proporciona su propio contenedor de RNG de hardware. La biblioteca libngu verificaba si la macro existía en lugar de si estaba habilitada, vinculando la compilación al fallback Yasmarang de MicroPython. El fallback se inicializaba desde el ID único del chip y registros de temporizador, y no recopilaba entropía fresca después de la inicialización.
Estimaciones de entropía y modelos afectados
Coinkite estima que la entropía efectiva es de aproximadamente 40 bits en el Mk3 y alrededor de 72 bits en Mk4, Mk5 y Q, en comparación con 128 bits para una semilla BIP-39 de 12 palabras. Block no ofrece una cifra práctica única, pero establece límites condicionales inferiores a 240.7 y 273.3 y advierte que este último no equivale a seguridad criptográfica de 73 bits. No se publicó ningún benchmark de fuerza bruta.
La exposición depende del firmware que se ejecutaba cuando se creó la semilla, no de la versión instalada actualmente. Los modelos afectados incluyen Mk2 y Mk3 con versiones 4.0.0 a 4.1.9, Mk4 y Mk5 con versiones anteriores a 5.6.0, Q con versiones anteriores a 1.5.0Q, y versiones Edge construidas antes de 6.6.0X para Mk4/Mk5 y 6.6.0QX para Q.
Recomendaciones para usuarios
Coinkite afirma que una semilla creada con al menos 50 rollos de dados justos, independientes y privados no está en riesgo por este error. Si el número o privacidad de los rollos es incierto, se recomienda migrar. Una contraseña BIP-39 fuerte y única crea una cartera separada que no se puede acceder solo con las palabras de la semilla, pero la compañía recomienda reemplazar la semilla de todos modos. Las multisig ayudan solo si el quórum no se construye completamente con dispositivos afectados. TAPSIGNER, OPENDIME y SATSCARD usan otros códigos y no están afectados.
Investigación en curso
Nadie ha nombrado al atacante. Galaxy, que mapeó el barrido de 1,196 direcciones, dijo que no encontró otras transacciones de Bitcoin en los 30 días anteriores con la misma firma de 30 sat/vB y sin cambio. Advirtió que el patrón identifica al operador, no el robo, porque un barrido 'se ve igual que si el dueño de las monedas decidiera moverlas'.
La divulgación sigue a la investigación 'Ill Bloom' de Coinspect a principios de julio, una falla separada de PRNG débil en carteras de software más antiguas relacionada con más de 5 millones de dólares drenados de direcciones en Bitcoin, Ethereum, Tron, Rootstock y Polygon desde mayo.
Deja una respuesta