Cold card entropiaren akatsa, hardware-ko zorro guztientzat arriskua

Joan den uztailaren 31ean, Coldcard karta fabrikatzailea den Coinkitek entropia sortzeko akats bat agertu zuen, hainbat Coldcard gailuetako funtzionamenduan eragin zezakeena. Galaxy Digitaleko ikertzaileen arabera, akats hori erabiliz egindako hainbat eraso koordinatuen ondorioz, gutxienez 1.596 BTC, hau da, gutxienez 100 milioi dolarreko diru-sarrera, lapurtu dela estimatzen da. Coinkitek ohartarazi du akats horrek eragindako firmwareak sortutako zorroak arriskutsuak direla, eta erabiltzaileei zorro berrietan dirua transferitzeko gonbidua egin die. Bitcoin zorroak sortzeko lehenengo fasean, entropia, hau da, ausartasunean dago arazoa. Pribatutako gakoak aurreikusitzea zaila den datu aleatorioetatik sortzen dira, eta ausartasun hori gutxitu egiten bada, erasotzaile batek erabil daitezkeen gakoen konbinazioak nabarmen murriztu ditzake eta horrela, horiek errepikatzeko aukera handitzen da. Core Lightning-eko garatzaile den Dustin Duthierrek esan zuen 2021ean firmware bat aldatzean, hardware RNG batekin interfazatzeko asmoz idatzitako kode bat, egia esan, funtzionamendua desaktibatu zuela, eta segurtasun maila txikiagoa zuen MicroPython-eko Yasmar-en pseudo-ausazko generagailu bat erabili zuela. CoinKitek ez du zehazki egoera hori baieztatu, baina onartu zuen firmware bertsio jakin batean entropia ahula sortzeko aukera ematen zuen funtzionamendu alternatibo bat zela, eta dadoak botatzeko bezalako metodoetan entropia sortzen zuten gailuek ez zutela arazoa. CoinKitek esan zuen analisi teknikoaren beraren txostena "laster" argitaratuko duela. Kasuan honak, hardware-ko zorroen industria osoaren segurtasun diseinuari buruzko eztabaidara iritsi zen. Ledger-eko produktu seguratasuneko zuzendari den Vincent Boujon-ek azaldu zuen Ledger gailuek AIS-31 PTG.2 estandarraren ziurtagiriak eta Common Criteria ziurtagiriak dituela, eta segurutasun elementu batean egonkorrak diren zenbakien generagailu bat erabiltzen dutela,