Da li je greška u softveru "Coldcard" ozbiljan problem koji ugrožava sigurnost svih hardverskih novčanika

Dana 31. jula, proizvođač hardverskih novčanika Coldcard, kompanija CoinKite, objavila je sigurnosnu ranjivost koja utiče na više uređaja Coldcard, izazvanu greškom u generisanju entropije. Prema istraživanju tima Galaxy Digital, procenjuje se da je najmanje 1.596 BTC, što predstavlja najmanje 100 miliona dolara, ukradeno koordinisanim napadima koji su iskoristili ovu ranjivost. Kompanija CoinKite je upozorila korisnike da novčanici kreirani sa kompromitovanog firmvera treba da se smatraju rizičnim i da prebace sredstva na novo kreirane novčanike. Osnovni problem leži u entropiji, odnosno u slučajnosti, koja je ključna u najosnovnijem koraku kreiranja Bitcoin novčanika. Privatni ključ se generiše iz podataka koji su dovoljno nepredvidivi i nasumični, a ako se ta nasumičnost oslabi, napadač može značajno da smanji broj mogućih kombinacija ključeva i da ih rekonstruiše. Dustin Duthmer, jedan od razvojnih programera Core Lightning-a, je 2021. godine postavio pitanje da li je kod koji je pokušavao da se poveže sa hardverskim generatorom slučajnih brojeva, zapravo deaktivirao tu funkcionalnost i umesto toga koristio pseudonaslučajni generator Yasmaran u MicroPython-u, koji ima niži nivo sigurnosti. CoinKite nije potvrdio ovaj konkretni scenario, ali je priznao da određena verzija firmvera može da generiše slabu entropiju putem određenog mehanizma za prebacivanje, i naveo da su uređaji koji su generisali entropiju ručnim putem, kao što je bacanje kockice, bili nepogođeni. CoinKite je najavio da će uskoro objaviti kompletan izveštaj o tehničkoj analizi. Ovaj incident je izazvao raspravu o načinu dizajniranja sigurnosti u celokupnoj industriji hardverskih novčanika. Vincent Boujon, direktor za sigurnost proizvoda kompanije Ledger, objasnio je da uređaji Ledger koriste generator istinskih slučajnih brojeva, koji se nalazi unutar sigurnog elementa sa sertifikatima AIS-31 PTG.2 i Common Criteria,