Kerentanan "cold card entropy" berpotensi menimbulkan masalah bagi seluruh perangkat penyimpanan kripto berbasis perangkat keras

Pada tanggal 31 Juli lalu, perusahaan pembuat cold wallet, CoinKite, mengungkapkan adanya cacat dalam pembangkitan entropi yang memengaruhi beberapa perangkat cold wallet. Menurut para peneliti di Galaxy Digital, serangan terkoordinasi yang memanfaatkan kerentanan ini diperkirakan telah mengakibatkan pencurian setidaknya 1.596 BTC, atau setara dengan nilai minimal 100 juta dolar AS. CoinKite memperingatkan bahwa dompet yang dibuat dengan firmware yang terpengaruh harus dianggap berisiko, dan mendesak pengguna untuk memindahkan dana mereka ke dompet yang baru dibuat. Inti dari cacat ini terletak pada entropi, yaitu unsur keacakan yang merupakan langkah paling mendasar dalam pembuatan dompet Bitcoin. Kunci pribadi dihasilkan dari data acak yang cukup tidak dapat diprediksi, dan jika keacakan ini melemah, penyerang dapat secara signifikan mempersempit kemungkinan kombinasi kunci dan mereproduksinya. Dustin Duthie, seorang pengembang Core Lightning, menyatakan bahwa kode yang pada tahun 2021 mencoba berinteraksi dengan perangkat keras RNG (Random Number Generator) justru menonaktifkannya, dan beralih ke pseudo-random number generator Yasmaran pada MicroPython yang memiliki tingkat keamanan lebih rendah. Meskipun CoinKite belum mengonfirmasi rincian spesifik ini, mereka mengakui bahwa terdapat jalur "fallback" pada versi firmware tertentu yang dapat menghasilkan entropi yang lemah, dan menyatakan bahwa perangkat yang menghasilkan entropi secara manual, seperti dengan melempar dadu, tidak terpengaruh. CoinKite berjanji untuk segera merilis laporan analisis teknis lengkap. Insiden ini memicu perdebatan tentang pendekatan desain keamanan secara keseluruhan dalam industri dompet perangkat keras. Vincent Bonnaire, Direktur Keamanan Produk di Ledger, menjelaskan bahwa perangkat Ledger menggunakan generator bilangan acak sejati dalam elemen keamanan yang telah disertifikasi dengan standar AIS-31 PTG.2 dan Common Criteria,