Adakah isu entropi pada Coldcard membahayakan semua dompet kripto

Pada 31 Julai lalu, pengeluar kad selamat (cold card) bernama CoinKite telah mengumumkan adanya kecacatan dalam penjanaan entropi yang mempengaruhi beberapa peranti kad selamat. Menurut penyelidikan oleh Galaxy Digital, serangan terkoordinasi yang memanfaatkan kerentanan ini diperkirakan telah mengakibatkan pencurian sejumlah minimal 1,596 BTC, atau setara dengan nilai minimal 100 juta dolar Amerika. CoinKite telah memberi amaran bahawa dompet yang dibuat menggunakan firmware yang terjejas harus dianggap berisiko, dan menggesa pengguna untuk memindahkan dana mereka ke dompet yang baru dibuat. Kekurangan utama terletak pada entropi, yaitu unsur keacakan pada tahap paling dasar dalam pembuatan dompet Bitcoin. Kunci pribadi dihasilkan dari data acak yang cukup tidak dapat diprediksi, dan jika keacakan ini melemah, penyerang dapat mempersempit secara signifikan kemungkinan kombinasi kunci yang dapat direplikasi. Dustin Duthweiler, pengembang Core Lightning, menyatakan bahwa pada tahun 2021, ketika ada perubahan firmware, kode yang seharusnya berinteraksi dengan generator angka acak (RNG) perangkat keras justru menonaktifkannya, dan beralih ke generator angka pseudo-acak Yasmaran pada MicroPython yang memiliki tingkat keamanan lebih rendah. Coinstrike belum dapat mengonfirmasi rincian spesifik ini, tetapi mengakui bahwa ada kemungkinan jalur pengganti (fallback) yang dapat menghasilkan entropi yang lemah pada versi firmware tertentu, dan menyatakan bahwa perangkat yang menghasilkan entropi secara manual, seperti dengan melempar dadu, tidak terpengaruh. Coinstrike menyatakan bahwa laporan analisis pasca-teknis lengkap akan segera dipublikasikan. Peristiwa ini telah memicu perdebatan mengenai pendekatan desain keamanan secara keseluruhan dalam industri dompet perangkat keras. Vincent Bolzon, pengurus bahagian keselamatan produk Ledger, menjelaskan bahawa peranti Ledger menggunakan generator bilangan rawak sejati di dalam elemen keselamatan yang telah diperakui dengan piawaian AIS-31 PTG.2 dan pensijilan Kriteria Umum (Common Criteria),