Een hardwarewallet geldt als de veiligste bewaarplaats voor bitcoin. Het apparaat komt nooit online en de sleutels verlaten de behuizing nooit. Een dief zou het kastje dus fysiek in handen moeten krijgen. Toch verloren bezitters van een Coldcard-wallet samen ruim 75 miljoen dollar. Eén regel code veroorzaakte een zwakke recovery seed. Die fout brak de hele beveiliging open, zonder dat iemand een apparaat hoefde aan te raken.
Een recovery seed bestaat meestal uit twaalf of vierentwintig woorden. Met die woordenreeks herstelt een eigenaar zijn volledige wallet op elk ander apparaat. Precies daarin schuilt het gevaar. Wie de reeks reproduceert, hoeft het originele kastje helemaal niet te bezitten. De aanval draaide dus niet om inbraak, maar om rekenwerk. Getroffen zijn vooral wallets met één handtekening, waarbij één seed alle munten beschermt. Opstellingen met meerdere handtekeningen bieden in dit geval extra weerstand.
Die seed hoort te ontstaan uit een hardwarematige toevalsgenerator met 128 bits entropie. Zo’n getal raden kost meer rekenkracht dan er op aarde bestaat. Op 1 maart 2021 wijzigde Coinkite echter één stukje firmwarecode. Vanaf dat moment viel het apparaat stil terug op een softwarematige generator. Het toestel meldde die overstap nergens. Het engineeringteam van Block ontdekte de fout en beschreef de gevolgen. Gebruikers vertrouwden al die tijd op cijfers die veel makkelijker te voorspellen waren.
Bij de Mk3-modellen kromp de effectieve zoekruimte tot ongeveer 40 bits. Coinkite bevestigde dat cijfer, maar noemt de analyse voorlopig. Het verschil tussen 128 en 40 bits is geen kwestie van gradatie. Een slot van 128 bits kraakt niemand, ook niet met alle computers ter wereld. Een slot van 40 bits kraakt iedere aanvaller die wat rekenkracht in de cloud huurt. Toestellen die vóór die datum een seed aanmaakten, vielen buiten het probleem.
Chainalysis volgde de diefstal en zag een uiterst gerichte aanpak. De aanvaller pakte eerst de grootste saldi aan. In de eerste tien minuten verdween al meer dan 30 miljoen dollar. Binnen ongeveer 25 minuten stroomde zo’n 594 bitcoin weg uit circa 500 wallets met één handtekening. Eén slachtoffer raakte in die korte tijd ongeveer 1,8 miljoen dollar kwijt. De snelheid wijst op voorbereiding. Iemand had de zwakke adressen vooraf in kaart gebracht.
Galaxy Research houdt de omvang van de aanval bij. Zaterdagochtend telden de onderzoekers 1.158,66 bitcoin van 2.673 adressen, samen goed voor ruwweg 75,1 miljoen dollar. De roof loopt bovendien nog steeds door. Galaxy riep gebruikers op X met klem op om hun tegoeden meteen te verplaatsen. Het bedrijf meldde daarnaast ongeveer 600 verdachte adressen bij federale opsporingsdiensten, compliancebedrijven en cyberonderzoekers uit de sector.
Coinkite bracht inmiddels herstelde firmware uit. De waarschuwing daarbij weegt zwaarder dan de patch zelf. Een update repareert namelijk geen bestaande seed. Wie zijn sleutels met te weinig entropie aanmaakte, houdt die zwakte voor altijd. Getroffen gebruikers moeten daarom een volledig nieuwe wallet aanmaken op bijgewerkte hardware. Vervolgens verplaatsen zij hun munten naar dat nieuwe adres. Wachten vergroot het risico elke dag, want de aanvallers werken de lijst nog af. De zaak toont hoe kwetsbaar offline beveiliging blijft: de hardware deed precies wat de fabrikant beloofde, de software eronder niet.
