Problém s "cold card" a entropiou predstavuje hrozbu pre všetky hardvérové peňaženky

Dňa 31. júla spoločnosť CoinKite, výrobca hardvérových peňaženiek, zverejnila informáciu o chybe generovania entropie, ktorá ovplyvňuje viaceré zariadenia. Podľa výskumníkov z Galaxy Digital sa predpokladá, že v dôsledku viacerých koordinovaných útokov využívajúcich túto zraniteľnosť bolo odcudzené minimálne 1 596 BTC, čo predstavuje hodnotu minimálne 100 miliónov dolárov. Spoločnosť CoinKite varovala, že peňaženky vytvorené pomocou ovplyvneného firmvéru sú považované za rizikové a vyzvala používateľov, aby presunuli svoje prostriedky do nových peňaženiek. Jadro problému spočíva v entropii, teda v náhodnosti, ktorá je základným krokom pri vytváraní Bitcoin peňaženiek. Súkromné kľúče sa generujú z dostatočne nepredvídateľných náhodných dát. Ak je táto náhodnosť oslabená, útočník môže výrazne zúžiť množstvo možných kombinácií kľúčov a potenciálne ich odhaliť. Vývojár Core Lightning, Dustin Duthweiler, naznačil, že kód, ktorý sa v roku 2021 pokúšal komunikovať s hardvérovým generátorom náhodných čísel, v skutočnosti mohol túto funkciu deaktivovať a použiť menej bezpečnú pseudonáhodnú generátorku Yasmaran v mikropythone. Spoločnosť CoinKite síce nepreverila presný priebeh, ale potvrdila, že v určitých verziách firmvéru existovala možnosť, ako generovať slabú entropiu, a uviedla, že zariadenia, ktoré generovali entropiu manuálne, napríklad pomocou hodu kockami, neboli ovplyvnené. Spoločnosť CoinKite uviedla, že celú technickú správu po analýze zverejní „v najbližšej dobe“. Tento incident vyvolal diskusiu o spôsoboch zabezpečenia v celom odvetví hardvérových peňaženiek. Vincent Bouge, riaditeľ pre bezpečnosť produktov spoločnosti Ledger, vysvetlil, že zariadenia Ledger používajú generátor skutočných náhodných čísel zabudovaný v bezpečnom prvku, ktorý má certifikáty AIS-31 PTG.2 a Common Criteria,