Kļūda Coldcard maciņos: nozagti bitkoini 64 miljonu eiro vērtībā

Kriptomaciņu ražotāja Coldcard programmatūrā atklāta kritiska kļūda, kas ļāvusi ļaundariem piekļūt lietotāju līdzekļiem un nozagt bitkoinus vairāk nekā 64,5 miljonu eiro vērtībā. Šī sistēmas nepilnība skārusi gandrīz 1200 ierīces, radot nopietnus drošības riskus daudziem kriptovalūtu īpašniekiem.

Drošības sistēmas kļūme

Problēmas saknes meklējamas 2021. gadā, kad uzņēmums veica izmaiņas programmatūrā, pārejot uz citu bibliotēku. Šīs migrācijas laikā nejaušo skaitļu ģenerēšana, kas ir atbildīga par maka sākuma frāžu jeb seed izveidi, netīšām tika novirzīta uz mazāk drošu programmatūras risinājumu. Tā vietā, lai izmantotu ierīces iebūvēto aparatūras ģeneratoru, sistēma izmantoja pseidonejaušus skaitļus, kas bija viegli uzminami.

Ietekmētie modeļi un risinājumi

Kļūda skārusi Mk2, Mk3 un Mk4 modeļus, būtiski samazinot to drošības līmeni. Lai gan izstrādātāji jau ir izlaiduši programmatūras atjauninājumus, tie paši par sevi nepasargā jau izveidotos makus. Lietotājiem, kuru ierīces ir skartas, ir jāveic šādas darbības:

• Jāizveido jauns kriptomaciņš ar drošu sākuma frāzi.
• Jāpārskaita visi līdzekļi uz jauno adresi.
• Jāatjaunina ierīces programmatūra uz jaunāko versiju.

Izņēmums ir tikai tie gadījumi, kad sākuma frāze tika ģenerēta, izmantojot vismaz 50 neatkarīgus metamo kauliņu metienus. Šāda metode nodrošina pietiekamu entropiju, ko neietekmē programmatūras kļūda.