قام أحدهم بإفراغ محافظ البيتكوين التي لم يكن من المفترض الوصول إليها.

كانت العملات موجودة على أجهزة Coldcard – محافظ أجهزة من الشركة المصنعة الكندية Coinkite، وهي من النوع الذي لا يتصل بالإنترنت أبدًا. لا يوجد رابط تصيد. لا برامج ضارة. لا يوجد جهاز كمبيوتر محمول مسروق. لقد اكتشف المهاجمون ببساطة مفاتيحهم الخاصة.

تتبعت Galaxy Research الآن أكثر من 1,596 بيتكوين مسروقة عبر ثلاث موجات مؤكدة، مع موجة رابعة مشتبه بها سترفع الإجمالي إلى حوالي 2,055 بيتكوين – أي ما يقرب من 130 مليون دولار بالأسعار الحالية. عملية واحدة نقلت 70 مليون دولار في 41 دقيقة. تقول Coinkite إن ما لا يقل عن 15 مهاجمًا مختلفًا قد شاركوا.

نشرت الشركة ورقة معلومات فنية في 1 أغسطس تشرح ما حدث خطأ. إنها وثيقة صريحة بشكل غير عادي، والنسخة المختصرة هي أن المحفظة كانت تستخدم نردًا متحيزًا لمدة ثماني سنوات دون أن يلاحظ أحد.

الصفر لا يزال شيئًا

في عام 2021، نقلت Coinkite تشفير Coldcard إلى libsecp256k1، وهي نفس المكتبة التي يستخدمها Bitcoin Core. قرار سليم. لكن الاندماج هو ما أدى إلى الانهيار.

أعاد الترحيل بصمت توجيه توليد البذور بعيدًا عن مولد الأرقام العشوائية المادي الخاص بـ Coldcard ونحو بديل MicroPython البرمجي – خوارزمية صغيرة تسمى Yasmarang موجودة للأجهزة التي لا تحتوي على شريحة عشوائية على الإطلاق.

لدى Coldcard شريحة عشوائية. لكنها توقفت عن أن تُستخدَم.

السبب يكاد يكون تافهاً لدرجة يصعب تصديقها. استخدمت حماية البناء #ifndef، والتي تتحقق مما إذا كان الإعداد موجودًا بدلاً من التحقق مما إذا كان مشغلاً. كانت Coinkite قد حددت هذا الإعداد بالصفر، مما يعني "متوقف". ولأن الصفر لا يزال يعتبر معرفًا، فقد اجتاز فحص السلامة واكتمل البناء. كان لكلا إصداري الدالة توقيعات متطابقة، لذلك لم يبدُ أي شيء خاطئًا.

كتبت Coinkite: "كان الجزء الأكبر من العشوائية على COLDCARD يأتي من مولد أرقام شبه عشوائي (PRNG) لم أكن أعلم أنه موجود بالفعل في قاعدة الكود المصدري"، في إشارة إلى مولد الأرقام شبه العشوائية – وهو برنامج ينتج أرقامًا تبدو عشوائية ولكنها تتبع وصفة ثابتة من قيمة ابتدائية.

أدخل نفس القيمة الأولية إلى الوصفة وستحصل على نفس الناتج. في كل مرة.

في أجهزة Mk2 و Mk3 التي تعمل بالبرامج الثابتة 4.0.1 حتى 4.1.9، جاءت تلك القيمة الأولية من الرقم التسلسلي للشريحة وساعتها. تقدر Coinkite مساحة البحث الناتجة بحوالي 40 بتًا. بينما أضافت الطرز الأحدث بعض الانتروبيا من العنصر الآمن، مما رفعها إلى حوالي 72 بتًا.

وليس أي منهما 128، وهو الهدف.

الفجوة تهم أكثر مما تبدو. البتات هي أسس. مساحة بحث بحجم 128 بتًا تحتوي على عدد من التركيبات أكبر من عدد الذرات في الكون المرصود، ولا أحد يبحثها. أربعون بتًا تساوي حوالي تريليون — وهو عدد يمكن لجهاز كمبيوتر محمول جيد معالجته. كل بت تفقده يقلل العمل إلى النصف.

قدر فريق هندسة Block، الذي نشر تحليله الخاص، مساحة البحث الفعالة للعنصر الآمن في الأجهزة الأحدث بـ 2^32 مرشحًا، بمتوسط حوالي 2^31 محاولة. تقييمهم للوحات القديمة أكثر صراحة: بالنسبة لمعرف جهاز معروف وحالة مؤقت وسجل مكالمات، يكون توليد المحفظة حتميًا.

والحتمية هي عكس العشوائية، وهو أمر أساسي للتشفير.

ليس "ضعيفًا". بل يمكن التنبؤ به.

تشتبه Coinkite في أن الاكتشاف تم بواسطة آلة. كتبت الشركة: "علينا أن نفترض أن شخصًا ما استخدم الذكاء الاصطناعي لمراجعة الإصدارات السابقة من برامجنا الثابتة وتعرّف على هذه المشكلة"، مضيفة أنها قامت مؤخرًا بتشغيل أحد أفضل نماذج الذكاء الاصطناعي المتاحة على نفس الكود ولم تتوصل إلى شيء. "المهاجمون والمدافعون لديهم نفس أدوات الذكاء الاصطناعي، ولكن اليوم لم يساعدنا ذلك، وساعد الأشرار فقط."

تم إصدار البرامج الثابتة المحدثة لكل طراز متأثر. لكنها لا تصلح البذور الموجودة؛ يجب إعادة توليد تلك المحافظ ونقل الأموال. لقد غطت Decrypt كيف يتغير التخزين المعزول هوائيًا بعد استغلال مثل هذا وتتبعت الخسائر التي تجاوزت 114 مليون دولار.

ما هي الانتروبيا حقًا

الانتروبيا هي مقياس لما لا يعرفه المهاجم.

بمعنى آخر، إنها في الأساس عدم اليقين، وتُحسب بالبتات. بت واحد هو رمي عملة واحدة: نتيجتان، والمخمن يصيب في نصف الوقت. عشرة بتات تعني 1,024 نتيجة. كل بت يضاعف عبء عمل المخمن.

محفظة البيتكوين هي رقم كبير جدًا يتم الاحتفاظ به سراً. يتم اشتقاق العنوان الذي يرسل الناس العملات إليه رياضياً، والاشتقاق يسير في اتجاه واحد فقط – يمكنك الانتقال من المفتاح إلى العنوان، ولكن لا يمكنك العودة أبدًا.

لذلك، تعتمد أمان كل محفظة على سؤال واحد: كم عدد الأرقام التي سيتعين على المهاجم تجربتها؟

إذا تم اختيار الرقم بـ 128 بتًا من الانتروبيا، فإن الإجابة هي "أكثر مما تسمح به الفيزياء". أما إذا تم اختياره بـ 40 بتًا، فإن الإجابة هي "امنحني بعض الوقت".

هذه هي الخاصية نفسها التي تجعل تهديد الحوسبة الكمومية يستحق النقاش حوله – فالآلة الكمومية ستهاجم الرياضيات التي تربط المفتاح بالعنوان. لكن ثغرة Coldcard لم تكن بحاجة لذلك. فقد جعلت المفاتيح قابلة للتخمين قبل أن تتدخل تلك الرياضيات.

هنا تصبح المصطلحات معقدة. ينتج مولد الأرقام شبه العشوائية مخرجات تجتاز الاختبارات الإحصائية للعشوائية، لذا لا يوجد شيء تقريبًا يمكن لجدول بيانات الإبلاغ عنه. لكن تلك المخرجات لا تزال محددة بالكامل بقيمتها الأولية (seed). إنها تبدو عشوائية لكنها ليست كذلك.

تختلف العشوائية الإحصائية وعدم القدرة على التنبؤ التشفيري كخصائص، وكانت مخرجات Coldcard ستجتاز الاختبار الأول بينما تفشل في الثاني بشكل كامل.

يجب أن تأتي العشوائية الحقيقية من الضوضاء الفيزيائية: الارتعاش الكهربائي في الدائرة، التقلبات الحرارية، الاضمحلال الإشعاعي. هذا هو الغرض من الشريحة المادية في Coldcard. وهذه هي الشريحة التي فصلتها علامة البناء.

ثم أثار لوك داشجر مسألة النرد

بينما سارع المستخدمون لإعادة توليد البذور، لجأ الكثيرون إلى الحل البدائي الواضح. تسمح محافظ Coldcard لك برمي النرد المادي وإدخال النتائج كانتروبيا. تعتبر إرشادات Coinkite أن البذور التي تم إنشاؤها بما لا يقل عن 50 رمية نرد مستقلة وخاصة ليست في خطر من الثغرة.

قد يبدو الأمر سخيفًا، لكن الشركة تبيع بالفعل كيسًا يحتوي على "100 نرد صغير ولطيف" لتسهيل العملية بأكملها عليك.

في 31 يوليو، نشر مطور Bitcoin Core لوك داشجر تحذيرًا: "عدد لا بأس به من الأشخاص يقترحون/يستخدمون النرد للتخفيف من ثغرة Coldcard. لاحظ أن النرد العادي غير مصمم ليكون آمنًا تشفيرياً. إذا كنت ستفعل ذلك، فمن المحتمل أن تشتري نرد كازينو دقيق. وحتى في هذه الحالة، يجب أن يكون لديك مصدر آخر للانتروبيا."

لم يتقبل مجتمع البيتكوين على تويتر الأمر بهدوء.

كتب أحد المستخدمين: "هاها، الآن لا يمكنك حتى رمي النرد". "الحفظ الذاتي انتهى..." وسأل آخر عما إذا كان يجب عليه توظيف شخص مصاب بمرض باركنسون لرميها. (ليس لطيفًا).

ربما جاء الرد الأكثر فائدة مع الحسابات. قام المطور جاستن شارب بتحليل الأرقام لتحديد بالضبط كم يكلفك النرد السيء:

"مبالغة. يعطي النرد المثالي ذو الستة أوجه 2.585 بت لكل رمية. النرد المنحاز بشكل ملحوظ، على سبيل المثال، عندما يهبط أحد الأوجه بنسبة 20% من الوقت بدلاً من 16.7%، لا يزال يعطي حوالي 2.55 بت. عبر 99 رمية، هذا هو الفرق بين حوالي 256 بت و 252 بت من الانتروبيا."

أربعة بتات من أصل 256. هذا هو العقوبة الكاملة للنرد غير العادل بشكل واضح.

لم يكن داشجر مخطئًا في أن النرد الرخيص يحتوي على انحياز يمكن قياسه – فالحبيبات المقولبة بالحقن تزيل كميات مختلفة قليلاً من البلاستيك من كل وجه، وهذا هو بالضبط سبب استخدام الكازينوهات للنرد الدقيق المملوء بالكامل. هو محق بشأن الفيزياء ومخطئ بشأن المخاطر. فقدان أربعة بتات من 256 يتركك عند 252. بينما تركت ثغرة Coldcard المستخدمين عند 40.

ومع ذلك، هناك حجة أكثر حدة مدفونة في نصيحته، وهي لا تتعلق بتحمل التصنيع. بل تتعلق بعدم الثقة بأي مصدر واحد. لم يكن فشل Coldcard في أن انتروبياها كانت منحازة قليلاً – بل كان في أن أحد المكونات توقف بصمت عن المساهمة ولم يلحظ أحد ذلك.

ماذا تفعل حيال ذلك

إذا قمت بتوليد بذرة على Coldcard متأثرة بدون رميات نرد (حقًا) أو عبارة مرور BIP-39 قوية، فإن تلك البذرة معرضة للخطر.

قم بتحديث البرامج الثابتة، وقم بتوليد بذرة جديدة، وتحقق من البصمة، وأرسل معاملة اختبارية، ثم انقل كل شيء. يشرح إشعار Coinkite العملية نموذجًا بنموذج. البذور المصدرة تحمل الخلل معها – نقل بذرة سيئة إلى تطبيق محفظة مختلف لا يحل شيئًا.

بالنسبة للجميع، فإن الخلاصة ليست أن محافظ الأجهزة معطلة أو أن النرد فخ.

الأمر هو أن "العشوائية" ادعاء، والادعاءات بحاجة إلى التحقق. كان الكود المصدري لـ Coldcard عامًا طوال الوقت. كان مولد الأرقام العشوائية المادي المقصود موجودًا هناك في الملف الثنائي. أكد المراجعون وجوده ولم يؤكدوا أبدًا أن مولد البذور استدعاه بالفعل.

ثماني سنوات من التدقيقات نظرت في الكود الصحيح. لكن لم يتحقق أحد مما إذا كان يعمل.