Vier Zeilen Code.
Über 1.596 BTC weg.

Jede Schutzschicht steht und fällt mit einer Zahl, die niemand erraten kann

Eine Hardware Wallet erfüllt mehrere Aufgaben. Sie zeigt Ihnen, was Sie tatsächlich signieren, anstatt von Ihnen zu verlangen, dem Bildschirm eines infizierten Computers zu vertrauen, und sie hält Ihren Schlüssel in einem Chip, der so gebaut ist, dass er dem Öffnen widersteht. Jede einzelne dieser Schutzmaßnahmen setzt voraus, dass die Zahl, von der Ihr Schlüssel stammt, nicht hätte erraten werden können. Wäre sie es gewesen, muss ein Angreifer nie eine davon überwinden. Der Pool, aus dem eine 24-Wörter-Phrase gezogen wird, enthält ungefähr eine Zahl für je tausend Atome im beobachtbaren Universum. Ein Pool dieser Größe kann nicht durchsucht werden. Das ist das gesamte Sicherheitsmodell.

COLDCARD hörte auf, aus diesem Pool zu schöpfen

Eine Firmware-Änderung im Jahr 2021 sorgte unauffällig dafür, dass die Wallet ihren dedizierten Zufallschip nicht mehr nach dieser Zahl fragte, sondern stattdessen eine gewöhnliche Software diese berechnen ließ. Direkt gegenübergestellt stellt sich der gesamte Vorfall wie folgt dar:

Das ist keine um zwei Drittel reduzierte Sicherheit. Jedes Bit verdoppelt die Arbeit, sodass 88 weniger Bits die Aufgabe um den Faktor 2⁸⁸ verringern. Eine Billion ist eine große Zahl für einen Menschen und eine kleine für jemanden, der Hochleistungsrechner anmietet, um die Aufgabe durchzugehen.

Weil Software von Natur aus nicht zufällig sein kann

Denken Sie daran, was einen Münzwurf unvorhersehbar macht. Die Wucht des Wurfs, die Schwerkraft, ein Luftzug von einer Klimaanlage, schwache Erschütterungen im Boden. Dutzende Einflüsse, die Sie benennen können, und Dutzende, die Sie nicht benennen können. Niemand kann die Flugbahn berechnen, also kann niemand das Ergebnis vorhersagen. Software funktioniert anders. Sie führt eine feste Formel über eine Handvoll Startwerte aus und erzeugt eine feste Antwort. Hier waren diese Werte die Seriennummer des Chips und wie lange das Gerät eingeschaltet war. Ein Angreifer, der das Rezept und die Zutaten kennt, berechnet die Ausgabe neu, anstatt sie zu erraten.

Und die Schutzfunktion, die dies verhindern sollte, stellte die falsche Frage

Es gab eine Sicherheitsprüfung im Build, die speziell dafür geschrieben wurde, zu verhindern, dass Firmware ohne den Hardware Generator ausgeliefert wird. Sie fragte ab, ob eine Einstellung existierte, nicht ob die Einstellung eingeschaltet war. Die Einstellung existierte, und sie war aus. Die Prüfung blieb ruhig, der Build meldete keine Fehler und die Firmware wurde ausgeliefert.

Fünf Jahre lang wirkte absolut alles völlig normal

Eine schwache Wiederherstellungsphrase sieht genau wie eine starke aus. Vierundzwanzig gewöhnliche Wörter, die richtige Prüfsumme, ein Gerät, das sich normal verhält. Nichts warnt Sie auf dem Bildschirm und nichts erzeugt einen Fehler im Build. Der Quellcode war die ganze Zeit öffentlich. Ihn zu lesen erforderte dennoch, dass jemand diese bestimmte Datei öffnete.

Bis jemand die Berechnungen durchführte

Es wurde kein einziges physisches Gerät berührt. Die Angreifer generierten die wahrscheinlichsten Phrasen auf ihren eigenen Rechnern, ermittelten, welche Bitcoin-Adressen sich daraus ergeben würden, und glichen diese Adressen mit der öffentlichen Blockchain ab. Jede Adresse, die ein Guthaben aufwies, wurde geleert. Eine Wallet, die seit 2022 ungenutzt in einer Schublade lag, war exakt genauso gefährdet wie eine im täglichen Einsatz.