4行のコード。
失われた1,596 BTC超。

すべての防御は、誰にも推測できない一つの数に懸かっている

ハードウェアウォレットにはいくつかの役割があります。感染したパソコンの画面を信頼するのではなく、実際に署名しようとしている内容をユーザーに表示すること、そして物理的な開封に耐えるよう構築されたチップの内部に秘密鍵を保持することです。これらすべての防御機能は、秘密鍵の生成元となった数字が予測不可能であることを前提としています。もし予測可能であれば、攻撃者はどの防御機能も迂回する必要がなくなります。 24単語のフレーズの組み合わせ元となるプールには、観測可能な宇宙にある原子の総数の約1000倍に相当する数の組み合わせが存在します。それほどの規模のプールを総当たりで検索することは不可能です。それがセキュリティモデルの全体像です。

COLDCARDはそのプールからの抽出をやめていました

2021年のファームウェア変更により、ウォレットは専用の乱数生成チップにその数字を求めることを密かに停止し、代わりに通常のソフトウェアに計算させるようになりました。これを並べて示したものが、インシデントの全容です：

これはセキュリティが3分の2に低下したという話ではありません。1ビット増えるごとに必要な作業量が倍増するため、88ビット減るということは、作業量が2の88乗分の1に縮小することを意味します。1兆という数字は人間にとっては大きなものですが、高性能マシンをレンタルして処理を行う者にとっては小さなものです。

ソフトウェアにはランダム性を持たせることができないため

コイントスが予測不可能である理由について考えてみてください。投げるときの力、重力、エアコンの風、地面の微細な揺れなど、名前を挙げられる要因も挙げられない要因も数十と存在します。誰もその軌道を計算できないため、誰も結果をあらかじめ言い当てることはできません。 ソフトウェアの動作は異なります。少数の初期値に対して固定の数式を実行し、固定の答えを生成します。今回のケースでは、それらの値とはチップのシリアル番号とデバイスの起動からの経過時間でした。レシピと材料を知っている攻撃者は、推測する代わりにその出力を再計算します。

そして、それを阻止するはずだったチェック機構は、間違った問いを立てていました

ビルド内には、ハードウェアジェネレーターを使用しないファームウェアの出荷を阻止するために特別に記述されたガードが存在していました。ただし、そのガードが確認したのは設定が有効かどうかではなく、設定が存在するかどうかでした。 設定は存在し、そしてオフになっていました。ガードは警告を発さず、ビルドはエラーを報告せず、ファームウェアはそのまま出荷されました。

5年間、何の問題もないように見えました

脆弱な復元フレーズは、強固な復元フレーズとまったく同じ見た目をしています。24個の通常の単語、正しいチェックサム、そして正常に動作するデバイス。画面上に警告が表示されることはなく、ビルドでエラーが発生することもありません。 ソースコードは常に公開されていました。それでもそれを確認するには、誰かがその特定のファイルを開く必要がありました。

そして、誰かが計算を実行しました

彼らは1台のデバイスにも触れることはありませんでした。自分のマシン上で可能性の高いフレーズを生成し、それぞれがどのBitcoinアドレスを生成するかを算出し、それらのアドレスを公開ブロックチェーンと照合しました。残高を持つすべてのアドレスが空にされました。 2022年以来引き出しにしまわれたまま電源が入っていなかったウォレットも、日常的に使用されていたウォレットと同等に露呈していました。