Coldcard'ın entropi hatası, tüm donanım cüzdanları için bir risk oluşturuyor mu

Geçtiğimiz 31 Temmuz'da, soğuk cüzdan üreticisi CoinKite, birçok soğuk cüzdan cihazını etkileyen bir entropi üretimi hatası olduğunu duyurdu. Galaxy Digital'in araştırmasına göre, bu güvenlik açığından yararlanılarak gerçekleştirilen koordineli saldırılar sonucunda en az 1.596 BTC, yani yaklaşık 100 milyon dolarlık bir fonun çalındığı tahmin ediliyor. CoinKite, etkilenen firmware'lerle oluşturulan cüzdanların risk altında olduğunu belirterek, kullanıcılara yeni oluşturulan cüzdanlara fonlarını aktarmalarını tavsiye etti. Hatanın temelinde, Bitcoin cüzdanı oluşturmanın en temel adımı olan entropi, yani rastgelelik yatıyor. Özel anahtarlar, yeterince tahmin edilemeyen rastgele verilerden oluşturulur. Bu rastgelelik zayıflarsa, saldırganlar olası anahtar kombinasyonlarını büyük ölçüde daraltarak bunları yeniden oluşturabilir hale gelir. Core Lightning geliştiricisi Dustin Duthweiler, 2021'deki firmware değişikliği sırasında, donanım tabanlı rastgele sayı üreteciyle (RNG) etkileşim kurmaya çalışan bir kodun, bunun yerine devre dışı bırakmış olabileceğini ve daha düşük güvenlik seviyesine sahip bir Micropython'ın Yasman sözde rastgele sayı üreteciyle çalışmaya başlamış olabileceğini öne sürdü. CoinKite, bu özel durumu doğrulayamasa da, belirli firmware sürümlerinde zayıf entropi üretebilen bir geri dönüş mekanizmasının bulunduğunu kabul etti ve zar atma gibi manuel yöntemlerle entropi üreten cihazların bundan etkilenmediğini belirtti. CoinKite, tüm teknik analiz raporunu "yakında" yayınlayacağını duyurdu. Bu olay, donanım cüzdanı sektörünün genelindeki güvenlik tasarım yaklaşımları hakkında bir tartışmaya yol açtı. Ledger ürün güvenliğinden sorumlu yönetici olan Vincent Bonnafoux, Ledger cihazlarının, AIS-31 PTG.2 standardı ve Ortak Değerlendirme Kriterleri (Common Criteria) sertifikalarına sahip, güvenli bir eleman içindeki gerçek rastgele sayı üreteci kullandığını açıkladı,