Coldcard entropi problemi, bütün donanım cüzdanları üçün bir riskmi

Keçən ilin 31 iyul tarixində Coldcard kriptovalu dəstləri istehsal edən CoinKite şirkəti, bir çox Coldcard cihazını təsir edən entropi generasiya problemi ilə bağlı bir qüsuru açıqlayıb. Galaxy Digital tədqiqatçılarına görə, bu zəiflikdən istifadə edilərək həyata keçirilən koordinə edilmiş bir neçə hücum nəticəsində ən azı 1596 BTC, yəni təxminən 100 milyon dollar dəyərində vəsait oğurlanıb. CoinKite, təsirə uğrayan proqram təminatları ilə yaradılmış portfelləri riskli hesab etməyi xəbərdarlıq edir və istifadəçilərə yeni yaradılmış portfellərə vəsaitlərini köçürmələri üçün çağırış edir. Bitkoin cüzdanının yaradılmasının ən əsas mərhələsi olan entropiya, yəni təsadüfiyyət, bu qıtlığın mərkəzindədir. Şəxsi açarlar kifayət qədər proqnozlaşdırılamayan təsadüfi məlumatlardan yaradılır, və bu təsadüfiyyət zəifləyincə, hücum edən tərəf mümkün açar kombinasiyalarını xeyli azaldara bilər və onları təkrarlamağa çalışa bilər. Core Lightning-in inkişaf etdiricisi Dustin Duthmer, 2021-ci ildə proqram təminatının dəyişdirilməsi zamanı, aparat RNG ilə interfeys qurmağa çalışan kodun əksinə olaraq, bunun əvəzinə, daha aşağı təhlükəsizlik səviyyəsinə malik olan MicroPython-un Yasmar pseudorandom növü generatoruna keçmiş ola biləcəyini irəli sürüb. CoinKite bu xüsusi səbəbi təsdiqləməyib, lakin bəzi proqram təminatı versiyalarında zəif entropiya yarada bilən bir keçid yolunun olduğunu etiraf edib və bildirib ki, zərdab atmaq kimi təsadüfi üsullarla entropiya yaradan cihazlar bundan təsirlənməyib. CoinKite, bütün texniki təhlil hesabatını "yaxında" ictimaiyyətə açıqlayacağını bildirib. Bu olay, donanım cüzdanı sektörünün genelindeki güvenlik tasarım yöntemleriyle ilgili tartışmalara yol açtı. Ledger ürünlerinin güvenlikten sorumlu yöneticisi Vincent Bouge, Ledger cihazlarının AIS-31 PTG.2 standardı ve Ortak Değerlendirme Kriterleri (Common Criteria) sertifikasına sahip, güvenli bir eleman içinde bulunan gerçek rastgele sayı üreteci kullandığını açıkladı,