Kad “bezsaiste” nav pietiekami droša
Digitālo aktīvu pasaule nepārtraukti attīstās, un līdz ar to arī to uzglabāšanas metodes. Daudzi Bitcoin īpašnieki dod priekšroku tā sauktajiem “aukstajiem makiem” jeb “cold storage” - ierīcēm, kas nekad nav savienotas ar internetu, lai nodrošinātu maksimālu drošību. Ideja ir vienkārša: ja hakeris nevar piekļūt tavam makam tiešsaistē, viņš nevar nozagt tavus Bitcoin. Tomēr nesen atklāts skandāls, kas saistīts ar populāro Coldcard aparatūras maku, liek apšaubīt šo pārliecību. Tūkstošiem lietotāju ir zaudējuši vairāk nekā 75 miljonus eiro no saviem “drošajiem” bezsaistes makiem.
Sēklu frāzes vājais punkts - nejaušība, kas nav nejauša
Katrs kriptovalūtas maks tiek aizsargāts ar privātu atslēgu, ko var atjaunot, izmantojot “sēklu frāzi” (seed phrase) - parasti 12 līdz 24 angļu vārdu virkni. Šai frāzei jābūt absolūti nejaušai, lai to nevarētu uzminēt vai aprēķināt. Coldcard maki ir aprīkoti ar īpašu aparatūras nejaušo skaitļu ģeneratoru (RNG) - mikroshēmu, kas radīta, lai nodrošinātu augstu nejaušības pakāpi. Tomēr firma Block veiktā analīze atklājusi satraucošu faktu: Coldcard programmaparatūra (firmware), kas izlaista kopš 2021. gada marta, ignorēja šo aparatūras RNG. Tā vietā, lai ģenerētu patiesi nejaušas frāzes, tā izmantoja paredzamus datus, piemēram, ierīces sērijas numuru, pagājušo laiku un komandu vēsturi. Tas nozīmē, ka sēklu frāzes kļuva “uzminamas” ar ierobežotu iespēju skaitu (ne vairāk kā 2^32 variantiem pat ar viena vārda atšķirību), atverot durvis hakeriem.
Vairāk nekā 75 miljoni eiro ir pazuduši
Kriptovalūtu zagļi ir izmantojuši šo ievainojamību, sistemātiski uzbūvējot privātās atslēgas un pārsūtot Bitcoin uz saviem makiem. Saskaņā ar Decrypt datiem, no 4585 Coldcard makiem kopumā ir nozagti 1367 Bitcoin, kuru vērtība šobrīd pārsniedz 75 miljonus eiro. Vidēji katrs ietekmētais maks zaudējis aptuveni 0,3 Bitcoin, kas ir aptuveni 16 500 eiro. Vislielākais zināmais zaudējums ir 18,25 Bitcoin, kas pārsniedz vienu miljonu eiro.
Ko tagad darīt Coldcard lietotājiem?
Ja esi Coldcard lietotājs un esi ģenerējis sēklu frāzi ar programmaparatūru, kas izlaista pēc 2021. gada marta, tev ir jādarbojas nekavējoties! Svarīgi ir saprast, ka programmaparatūras atjaunināšana tagad nepalīdzēs, jo problēma ir jau ģenerētajā frāzē. Vienīgais drošais risinājums ir nekavējoties pārsūtīt visus Bitcoin uz jaunu maku ar jaunu, droši ģenerētu sēklu frāzi. Izņēmums ir gadījumi, ja frāzes ģenerēšanā esat papildus izmantojis vismaz 50 metamās kauliņus, lai pievienotu nejaušību, vai izmantojis Bitcoin Improvement Proposal 39 (BIP39) standartu ar papildu vārdiem.
Coinkite reakcija un nākotnes mācības
Coinkite, Coldcard ražotājs, paziņojis, ka ir iznīcinājis visus vēl nepārdotos Coldcard ierīču krājumus. Tomēr klientiem stingri ieteikts savas ierīces neiznīcināt, jo tās var būt būtiskas, ja izdosies atgūt nozagtos Bitcoin. Uzņēmums atzinis, ka saņem “grūtus jautājumus” un ka to “darbs tuvākajās nedēļās nebeigsies, tas tikai sākas.” Šis incidents kalpo kā skarba atgādinājums par to, ka pat šķietami visdrošākajās tehnoloģijās var būt neparedzētas vājās vietas. Tā uzsver pastāvīgas modrības un “neuzticies, pārbaudi” principa nozīmi digitālo aktīvu pārvaldībā.
Kā tu aizsargā savus digitālos aktīvus - un kā šis gadījums maina tavu uztveri par “cold storage” drošību?
Iezīmē tekstu un spied ziņot par kļūdu.
