Cold Card entropaia viga: kas see kujutab ohtu kõikidele riistvararahakottidele

Eelmise aasta 31. juulil avalikustas külmrahakojad valmistav ettevõte Coinkite mitmes külmrahakojas esineva entropia genereerimise defekti. Galaxy Digitali teadlaste andmetel on seda haavatavust kasutades läbi viidud mitmeid koordineeritud rünnakuid, mille tagajärjel on arvatavasti varastatud vähemalt 1596 BTC, mis vastab umbes 100 miljoni dollarile. Coinkite hoiatas, et külmrahakojadesse salvestatud andmed, mis on mõjutatud tarkvaraga loodud, võivad olla ohustatud, ja soovitab kasutajatel oma vahendeid uutesse rahakottadesse üle kanda. Bitcoini rahakoti loomise kõige algmises etapis, nimelt entropia ehk juhuslikkuse osas, peitub vea põhjuse. Privaatvõtmed genereeritakse piisavalt ennustatamatust juhuslikust andmest, ja kui see juhuslikkus nõrgeneb, suudab ründaja võimalikke võtmekombinatsioone oluliselt vähendada ja need taastada. Core Lightningi arendaja Dustin Duthre on välja pakkunud, et 2021. aastal toimunud firmware'i muudatuse ajal püüdsid koodijärsud kasutada riistvarapõhist juhusgeneraatorit, kuid tegelikult see kood desaktiveeris selle ja lülitus tagasi vähem turvalise MicroPythoni pseudojuhusgeneraatori kasutamisele. CoinKite ei ole seda konkreetset juhtumit kinnitanud, kuid tunnistas, et teatud firmware'i versioonides võis olla olemas tagasipöördemehhanism, mis tekitas nõrga entropia, ning teatas, et seadmed, mis genereerisid entropiat käsitsi, näiteks visates täringuid, ei olnud sellest mõjutatud. CoinKite teatas, et avaldab kogu tehnilise järelanalüüsi raporti "varsti". Selle juhtumiga algas laiem arutelu krüptovalu hoiustamise seadmete turvalisuse disainilahenduste kohta. Ledgeri toodete turvalisuse eest vastutava juhi Vincent Boujon selgitas, et Ledgeri seadmed kasutavad turvalist elementi, mis on läbinud AIS-31 PTG.2 standardi sertifikaadi ja Common Criteria sertifikaadi, ning sisaldab tõelist juhusnumbrite generaatorit,