Bitcoiner greifen zu Würfelwürfen, da Self-Custody-Setups neu bewertet werden

Angesichts des katastrophalen Low-Entropy-Bugs in Coldcard-Hardware-Wallets, der mit öffentlich beobachteten Diebstählen ab dem 30. Juli in Verbindung steht, haben Bitcoin-Besitzer begonnen, die Vertrauensannahmen in ihren Hardware-Wallet-Setups neu zu bewerten. 

Wie der Entropiefehler von Coldcard funktionierte

Die Coldcard-Geräte waren mit anscheinend funktionsfähigen STM32-„True Random Number Generators“ (TRNGs) ausgestattet, die auf physikalischen Prozessen beruhen, um eine nicht erratbare Seed-Phrase zu erzeugen.

Nachdem Coldcard-Erfinder NVK jedoch beschlossen hatte, eine Firmware-Überarbeitung einzuleiten, um von einem unter GPL lizenzierten Free-Software-Modell auf ein Read-only-Modell umzustellen, scheint eine ernsthafte Sicherheitslücke eingeführt worden zu sein.

Ab Firmware-Version 4.0.1, die im März 2021 veröffentlicht wurde, verwendete das Gerät den Yasmarang-PRNG von MicroPython anstatt den STM32-Hardware-RNG korrekt zu nutzen.

Die Erzeugung von Zufallszahlen ist ein unlösbares Problem in der Informatik, weshalb die Generierung sicherer, nicht erratbarer privater Schlüssel immer bis zu einem gewissen Grad auf externe physikalische Prozesse angewiesen sein muss. 

Die Verwendung des Yasmarang-PRNG wurde von Analysten in dem Bereich weithin charakterisiert als vorprogrammierter Fallback. Coinkite hat diese Charakterisierung jedoch nun in einem jüngsten X-Post bestritten: 

Die Vermutung, dass Coldcards so programmiert wurden, dass sie standardmäßig eine offensichtlich unsichere Methode zur Seed-Erzeugung verwenden, hat auf X auch Spekulationen darüber ausgelöst, ob es sich um eine absichtlich platzierte Hintertür handelte. 

Der investigative Bitcoin-Journalist Hodlnaut spekulierte, dass der Bug aus nachlässigen Entwicklungspraktiken und dem Versuch resultierte, Fehler durch zufällige Änderungen zu unterdrücken.

Coinkite schätzte, dass Mk2- und Mk3-Geräte erzeugten Seeds mit 40 Bit Entropie, während Mk4, Mk5 und Q etwa 70 Bit erreichten. Beide liegen deutlich unter den 128 Bit, die für eine sichere 12-Wort-Seed-Phrase erforderlich sind.

Seitdem haben Angreifer erfolgreich private Schlüssel per Brute-Force geknackt und dabei BTC im Wert von über 100 Millionen US-Dollar gestohlen. Wie wahrscheinlich es ist, dass eine Wallet gefunden wird, hängt davon ab, ob zusätzliche Würfel-Entropie hinzugefügt wurde oder eine BIP-39-Passphrase und ein nicht standardmäßiger Pfad verwendet wurden. 

Verwandt: Coldcard-Hacker transferieren 64 BTC und 200 ETH zu Kryptowährungs-Mixern

Seitdem hat James O’Beirne eine Website mit Honeypot-Adressen namens cktripwire eingerichtet,  um zu schätzen, welche Arten von Wallets von Angreifern effektiv geleert werden.

Honeypots, verfolgt von cktripwire. Quelle: cktripwire.com

Wie physische Entropie einige Wallets rettete

Der Coldcard-Exploit hat der Community erneut schmerzhaft eines ihrer Kernprinzipien vor Augen geführt: Vertraue nicht, verifiziere.

Diejenigen Nutzer, die sich bei der Erzeugung der Entropie für den sicherheitskritischsten Teil des Prozesses nicht auf ein undurchsichtiges Stück Technik verließen, sondern eine ausreichende Anzahl von Würfelwürfen verwendeten, bewahrten ihre Coins vor dem Exploit. 

Würfel zu werfen ist ein einfacher, sichtbar transparenter Prozess, den ein normaler Nutzer selbst prüfen und intuitiv verstehen kann. Die Verifizierung des TRNG hingegen würde eine detaillierte physische Inspektion der Elektronik und eine Untersuchung der Firmware erfordern.   

Während einige die jüngsten Ereignisse als Vorwand genutzt haben, um das Ende der Self-Custody zu verkünden, lässt diese bewährte Praxis für einen entfernten Angreifer nur sehr wenige Optionen.

Wenn die Seedphrase durch physische Entropie erzeugt wird, ohne sich auf die Sicherheit der Hardware-Wallet zu verlassen, wird der einzige echte Single Point of Failure bei der Wallet-Erzeugung beseitigt.

Der aus dem Seed abgeleitete xpub und die Empfangsadressen können durch Import in andere Geräte gegengeprüft werden.

Nonce-Exfiltration über eine Airgap kann ebenfalls erkannt werden, indem geprüft wird, ob zwei Geräte bei einer identischen unsignierten Transaktion dieselbe RFC 6979-konforme Signatur erzeugen. 

Sichere Entropieerzeugung ist somit die absolute Voraussetzung für eine sichere Wallet. Verschiedene Methoden und Vorschläge zur Erzeugung davon kursieren seit der Veröffentlichung des Coldcard-Exploits auf X. 

Die populärste Methode besteht darin, die Fähigkeit des Geräts zur korrekten Umwandlung von Würfelseiten in eine BIP-39-Seedphrase zu überprüfen, indem ein SHA-265-Hash angewendet wird. Mehr als 100 Würfelwürfe reichen dann aus, um Entropie für einen 24-Wort-Seed zu erzeugen. 

Einfache Papiermethoden, wie die von Bitbox veröffentlichte Tabelle unterteilen den Raum der BIP-39-Seed-Wörter so, dass einer Kombination aus sechs Würfelwürfen und einem Münzwurf direkt ein Seed-Wort zugewiesen werden kann, ohne Elektronik zu verwenden.

Ausgefeiltere Vorlagen wie das codex32-Arbeitsblatt zur Würfel-Entbiasung verwenden einen van-Neumann-Extraktor, der von Hand berechnet werden kann, um selbst mit verzerrten Würfeln eine sichere Seed-Phrase zu erzeugen.

Eine Alternative zum Würfeln besteht darin, die BIP-39-Seed-Wörter auszudrucken, sie in gleich große kleine Papierstücke zu schneiden, sie gründlich zu mischen und dann 24 zufällige Wörter zu ziehen. Produkte wie Seedsticks oder Entropia machen dies bequemer und robuster.

Spezialisierte Hardware wie Frostsnap versucht, die Entropieerzeugung nachweisbar über mehrere Geräte zu verteilen.  

Einige Nutzer haben damit begonnen, eigene physische Entropie-Geräte zu entwerfen, die eine Seedphrase fast so schnell erzeugen können wie ein Stück elektronischer Hardware. 

Magazin: Bedeuten die Coldcard-Angriffe, dass alle Hardware-Wallets jetzt unsicher sind?