Default
Door Remote - 07 Aug 2026
In het licht van de catastrofale bug met lage entropie in Coldcard hardware wallets, gekoppeld aan publiekelijk waargenomen diefstallen vanaf 30 juli, zijn Bitcoin-houders begonnen met het opnieuw evalueren van de vertrouwensaannames in hun hardware wallet-instellingen.
Hoe de entropiefout van Coldcard werkte De Coldcard-apparaten waren uitgerust met ogenschijnlijk functionele STM32 ‘true random number generators’ (TRNG’s) die afhankelijk zijn van fysieke processen om een onraadbare beginzin te produceren.
Nadat Coldcard-maker NVK echter besloot de firmware te herschrijven om over te schakelen van een GPL-gelicentieerd gratis softwaremodel naar een alleen-lezen-model, lijkt er een ernstige kwetsbaarheid te zijn geïntroduceerd.
Vanaf firmwareversie 4.0.1, uitgebracht in maart 2021, gebruikte het apparaat MicroPython's Yasmarang PRNG in plaats van op de juiste manier gebruik te maken van de STM32 hardware RNG.
Het genereren van willekeurige getallen is een onoplosbaar probleem in de informatica. Daarom is het genereren van veilige, onraadbare privésleutels altijd tot op zekere hoogte afhankelijk van externe fysieke processen.
Het gebruik van de Yasmarang PRNG werd door analisten in de ruimte algemeen gekarakteriseerd als een voorgeprogrammeerde terugval. Coinkite heeft deze karakterisering nu echter betwist in een recente X-post:
Het vermoeden dat Coldcards geprogrammeerd waren om standaard een duidelijk onveilige methode voor het genereren van zaden te gebruiken, heeft ook tot speculaties bij X geleid over de vraag of dit een opzettelijk geplaatste achterdeur was.
Onderzoeksjournalist Hodlnaut speculeerde dat de bug voortkwam uit onzorgvuldige ontwikkelingspraktijken en pogingen om fouten te onderdrukken door middel van willekeurige veranderingen.
Coinkite schatte dat Mk2- en Mk3-apparaten zaden genereerden met 40 bits entropie, terwijl de Mk4, Mk5 en Q ongeveer 70 bits bereikten. Beide zijn ver beneden de 128 bits die nodig zijn voor een veilige kiemzin van 12 woorden.
Sindsdien hebben aanvallers met succes privésleutels bruut geforceerd, waarbij ze voor meer dan $100 miljoen aan BTC hebben gestolen. Hoe waarschijnlijk het is dat een portemonnee wordt gevonden, hangt af van het feit of er al dan niet extra dobbelstenen-entropie is toegevoegd, of dat er een BIP-39-wachtwoord en een niet-standaard pad zijn gebruikt.
Gerelateerd: Coldcard-hackers dragen 64 BTC en 200 ETH over naar cryptocurrency-mixers
Sindsdien heeft James O'Beirne een website met honeypot-adressen opgezet, genaamd cktripwire, om in te schatten welke soorten portefeuilles aanvallers effectief doorzoeken.
Honeypots gevolgd door cktripwire. Bron: cktripwire.com
Hoe fysieke entropie sommige portemonnees heeft gered De Coldcard-exploit heeft opnieuw op pijnlijke wijze een van de kernprincipes van de gemeenschap duidelijk gemaakt: vertrouw niet, verifieer.
De gebruikers die niet vertrouwden op een ondoorzichtig stukje techniek om entropie te genereren voor het meest veiligheidskritieke deel van het proces, maar een voldoende aantal dobbelsteenworpen gebruikten, bespaarden hun munten van de exploit.
Het gooien van dobbelstenen is een eenvoudig, zichtbaar transparant proces dat een gewone gebruiker zichzelf kan controleren en intuïtief kan begrijpen. Voor het verifiëren van de TRNG zou daarentegen een gedetailleerde fysieke inspectie van de elektronica en onderzoek van de firmware nodig zijn.
Hoewel sommigen recente gebeurtenissen als voorwendsel hebben gebruikt om het einde van de zelfbeschikking af te kondigen, laat het volgen van deze best practice een aanvaller op afstand zeer weinig opties over.
Als de Seedphrase wordt gegenereerd door middel van fysieke entropie zonder afhankelijk te zijn van de veiligheid van de hardware wallet, wordt het enige echte single point of Failure bij het genereren van de portemonnee verwijderd.
Gerelateerd: Betekenen de Coldcard-aanvallen dat alle hardware-wallets nu onveilig zijn?
De xpub- en ontvangstadressen die zijn afgeleid van het zaad kunnen worden gecontroleerd door deze in andere apparaten te importeren.
Nonce-exfiltratie via een luchtspleet kan ook worden opgevangen door te controleren of twee apparaten dezelfde RFC 6979-compatibele handtekening genereren wanneer ze een identieke, niet-ondertekende transactie krijgen.
Veilige entropiegeneratie is dus de absolute voorwaarde voor een veilige portemonnee. Verschillende methoden en voorstellen om dit te genereren doen de ronde op X sinds de Coldcard-exploit openbaar werd gemaakt.
De meest populaire methode is om te controleren of het apparaat in staat is om die-vlakken correct om te zetten in een BIP-39-seedphrase door een SHA-265-hash toe te passen. Het gebruik van meer dan 100 dobbelsteenworpen is dan voldoende om entropie te genereren voor een zaadje van 24 woorden.
Eenvoudige papieren methoden, zoals de door Bitbox gepubliceerde tabel, verdelen de ruimte van BIP-39-zaadwoorden zodat aan een combinatie van zes dobbelsteenworpen en een muntstuk direct een beginwoord kan worden toegewezen zonder gebruik te maken van elektronica.
Meer geavanceerde sjablonen, zoals het codex32-werkblad voor het verminderen van de bias, maken gebruik van een van Neumann-extractor die met de hand kan worden berekend om een veilige beginzin te genereren, zelfs met bevooroordeelde dobbelstenen.
Een alternatief voor het gooien van dobbelstenen is om de BIP-39 startwoorden af te drukken, ze in kleine stukjes papier van gelijke grootte te knippen, ze grondig te schudden en dan willekeurige 24 woorden te trekken. Producten als Seedsticks of Entropia maken dit handiger en robuuster.
Gespecialiseerde hardware zoals Frostsnap probeert de entropiegeneratie op controleerbare wijze over apparaten te verdelen.
Sommige gebruikers zijn begonnen met het ontwerpen van hun eigen fysieke entropie-apparaten die bijna net zo snel een zaadzin kunnen genereren als een stuk elektronische hardware.
Gerelateerd: Betekenen de Coldcard-aanvallen dat alle hardware-wallets nu onveilig zijn?
Hoe de entropiefout van Coldcard werkte De Coldcard-apparaten waren uitgerust met ogenschijnlijk functionele STM32 ‘true random number generators’ (TRNG’s) die afhankelijk zijn van fysieke processen om een onraadbare beginzin te produceren.
Nadat Coldcard-maker NVK echter besloot de firmware te herschrijven om over te schakelen van een GPL-gelicentieerd gratis softwaremodel naar een alleen-lezen-model, lijkt er een ernstige kwetsbaarheid te zijn geïntroduceerd.
Vanaf firmwareversie 4.0.1, uitgebracht in maart 2021, gebruikte het apparaat MicroPython's Yasmarang PRNG in plaats van op de juiste manier gebruik te maken van de STM32 hardware RNG.
Het genereren van willekeurige getallen is een onoplosbaar probleem in de informatica. Daarom is het genereren van veilige, onraadbare privésleutels altijd tot op zekere hoogte afhankelijk van externe fysieke processen.
Het gebruik van de Yasmarang PRNG werd door analisten in de ruimte algemeen gekarakteriseerd als een voorgeprogrammeerde terugval. Coinkite heeft deze karakterisering nu echter betwist in een recente X-post:
Het vermoeden dat Coldcards geprogrammeerd waren om standaard een duidelijk onveilige methode voor het genereren van zaden te gebruiken, heeft ook tot speculaties bij X geleid over de vraag of dit een opzettelijk geplaatste achterdeur was.
Onderzoeksjournalist Hodlnaut speculeerde dat de bug voortkwam uit onzorgvuldige ontwikkelingspraktijken en pogingen om fouten te onderdrukken door middel van willekeurige veranderingen.
Coinkite schatte dat Mk2- en Mk3-apparaten zaden genereerden met 40 bits entropie, terwijl de Mk4, Mk5 en Q ongeveer 70 bits bereikten. Beide zijn ver beneden de 128 bits die nodig zijn voor een veilige kiemzin van 12 woorden.
Sindsdien hebben aanvallers met succes privésleutels bruut geforceerd, waarbij ze voor meer dan $100 miljoen aan BTC hebben gestolen. Hoe waarschijnlijk het is dat een portemonnee wordt gevonden, hangt af van het feit of er al dan niet extra dobbelstenen-entropie is toegevoegd, of dat er een BIP-39-wachtwoord en een niet-standaard pad zijn gebruikt.
Gerelateerd: Coldcard-hackers dragen 64 BTC en 200 ETH over naar cryptocurrency-mixers
Sindsdien heeft James O'Beirne een website met honeypot-adressen opgezet, genaamd cktripwire, om in te schatten welke soorten portefeuilles aanvallers effectief doorzoeken.
Honeypots gevolgd door cktripwire. Bron: cktripwire.com
Hoe fysieke entropie sommige portemonnees heeft gered De Coldcard-exploit heeft opnieuw op pijnlijke wijze een van de kernprincipes van de gemeenschap duidelijk gemaakt: vertrouw niet, verifieer.
De gebruikers die niet vertrouwden op een ondoorzichtig stukje techniek om entropie te genereren voor het meest veiligheidskritieke deel van het proces, maar een voldoende aantal dobbelsteenworpen gebruikten, bespaarden hun munten van de exploit.
Het gooien van dobbelstenen is een eenvoudig, zichtbaar transparant proces dat een gewone gebruiker zichzelf kan controleren en intuïtief kan begrijpen. Voor het verifiëren van de TRNG zou daarentegen een gedetailleerde fysieke inspectie van de elektronica en onderzoek van de firmware nodig zijn.
Hoewel sommigen recente gebeurtenissen als voorwendsel hebben gebruikt om het einde van de zelfbeschikking af te kondigen, laat het volgen van deze best practice een aanvaller op afstand zeer weinig opties over.
Als de Seedphrase wordt gegenereerd door middel van fysieke entropie zonder afhankelijk te zijn van de veiligheid van de hardware wallet, wordt het enige echte single point of Failure bij het genereren van de portemonnee verwijderd.
Gerelateerd: Betekenen de Coldcard-aanvallen dat alle hardware-wallets nu onveilig zijn?
De xpub- en ontvangstadressen die zijn afgeleid van het zaad kunnen worden gecontroleerd door deze in andere apparaten te importeren.
Nonce-exfiltratie via een luchtspleet kan ook worden opgevangen door te controleren of twee apparaten dezelfde RFC 6979-compatibele handtekening genereren wanneer ze een identieke, niet-ondertekende transactie krijgen.
Veilige entropiegeneratie is dus de absolute voorwaarde voor een veilige portemonnee. Verschillende methoden en voorstellen om dit te genereren doen de ronde op X sinds de Coldcard-exploit openbaar werd gemaakt.
De meest populaire methode is om te controleren of het apparaat in staat is om die-vlakken correct om te zetten in een BIP-39-seedphrase door een SHA-265-hash toe te passen. Het gebruik van meer dan 100 dobbelsteenworpen is dan voldoende om entropie te genereren voor een zaadje van 24 woorden.
Eenvoudige papieren methoden, zoals de door Bitbox gepubliceerde tabel, verdelen de ruimte van BIP-39-zaadwoorden zodat aan een combinatie van zes dobbelsteenworpen en een muntstuk direct een beginwoord kan worden toegewezen zonder gebruik te maken van elektronica.
Meer geavanceerde sjablonen, zoals het codex32-werkblad voor het verminderen van de bias, maken gebruik van een van Neumann-extractor die met de hand kan worden berekend om een veilige beginzin te genereren, zelfs met bevooroordeelde dobbelstenen.
Een alternatief voor het gooien van dobbelstenen is om de BIP-39 startwoorden af te drukken, ze in kleine stukjes papier van gelijke grootte te knippen, ze grondig te schudden en dan willekeurige 24 woorden te trekken. Producten als Seedsticks of Entropia maken dit handiger en robuuster.
Gespecialiseerde hardware zoals Frostsnap probeert de entropiegeneratie op controleerbare wijze over apparaten te verdelen.
Sommige gebruikers zijn begonnen met het ontwerpen van hun eigen fysieke entropie-apparaten die bijna net zo snel een zaadzin kunnen genereren als een stuk elektronische hardware.
Gerelateerd: Betekenen de Coldcard-aanvallen dat alle hardware-wallets nu onveilig zijn?