Het COLDCARD-incident en de grenzen van beveiliging op apparaatniveau

Mensen verloren bitcoin die zij offline bewaarden op hardwarewallets met een sterke reputatie binnen de Bitcoin-community. Zij hadden hun bitcoin van handelsplatformen gehaald en hun seed phrases veilig opgeborgen. Toch maakte een fout in getroffen COLDCARD-firmware sommige walletseeds voorspelbaarder dan bedoeld.

Dat betekent niet dat self-custody heeft gefaald. Het bewijst evenmin dat professionele custody altijd veiliger is. Het laat wel zien dat de veiligheid van een Bitcoin-wallet afhangt van het volledige proces rond een sleutel: hoe deze wordt gegenereerd, waar deze wordt bewaard, wat er nodig is om de sleutel te gebruiken en hoe toegang kan worden hersteld.

Wat ging er mis?

Een Bitcoin-privésleutel is een zeer groot getal. Bij wallets met een seed phrase van 12 of 24 woorden coderen die woorden de entropie waaruit de sleutels van de wallet worden afgeleid. De beveiliging berust erop dat een aanvaller die entropie niet kan voorspellen of reproduceren.

Tijdens een softwarewijziging in 2021 begon getroffen COLDCARD-firmware een deterministische softwarematige terugvaloptie te gebruiken in plaats van de bedoelde hardwarematige randomgetalgenerator. Latere apparaten voegden entropie uit een secure element toe, maar uit de analyse van Block bleek dat de implementatie daar slechts een beperkt deel van behield. De apparaten bleven geldige seed words, normale adressen en werkende transacties produceren. Voor de eigenaar was de zwakte daardoor niet zichtbaar.

Coinkite heeft inmiddels herstelde firmware uitgebracht en adviseert getroffen gebruikers om hun bitcoin te verplaatsen naar een nieuw gegenereerde seed. De update voorkomt dat hetzelfde generatiepad opnieuw wordt gebruikt, maar herstelt geen seed die vóór de update is aangemaakt.

De cryptografie van Bitcoin bleef intact. De fout zat in één implementatie van het proces dat willekeur moest leveren bij het aanmaken van een walletgeheim.

Waarom een hardwarewallet slechts één onderdeel van beveiliging is

Een hardwarewallet kan sleutels isoleren van een computer met internetverbinding en het ondertekenen van transacties afschermen. Die maatregelen zijn belangrijk, maar de eigenaar blijft afhankelijk van de firmware van het apparaat, het ontwikkelproces, de implementatie van sleutelgeneratie en de kwaliteit van de tests eromheen.

Het gebruik van meerdere apparaten neemt die afhankelijkheid niet automatisch weg. Wanneer meerdere sleutels zijn gegenereerd door dezelfde apparaatfamilie, firmware of implementatie van de randomgetalgenerator, kunnen zij nog steeds dezelfde foutbron delen. Hetzelfde geldt voor multisignature: het verdelen van sleutels helpt alleen wanneer de gebruikte onderdelen en procedures daadwerkelijk onafhankelijk zijn.

Beveiliging moet daarom als een systeem worden beoordeeld, niet als een productlabel. Sleutelgeneratie, opslag, autorisatie, monitoring en herstel dekken elk een ander risico af.

Hoe Blockrise de toegang tot sleutels beperkt

Blockrise publiceert dit artikel om Bitcoin-houders te helpen de kwetsbaarheid te begrijpen en hun bitcoin te beschermen. Het incident is geen aanleiding om één custodymodel als universeel superieur te presenteren. Onze verantwoordelijkheid is om het risico duidelijk uit te leggen en cliënten te ondersteunen die mogelijk zijn getroffen.

Blockrise gebruikt een semi-custodial model waarin iedere cliënt een gesegregeerde Bitcoin-wallet heeft die on-chain kan worden geverifieerd. Bitcoin van cliënten wordt niet samengevoegd in een algemene wallet.

Blockrise beschermt zijn Bitcoin-sleutels met zelf beheerde en zelf gehoste Securosys Primus CyberVault X2 Hardware Security Modules, oftewel HSM’s, met geografische redundantie. De privésleutels zijn ingesteld als niet-exporteerbaar. Daardoor kunnen zij de HSM niet als leesbare tekst verlaten en kunnen Blockrise-software en medewerkers de sleutels niet uitlezen of kopiëren.

Iedere cliënt maakt bij het instellen van een Blockrise-wallet twee afzonderlijke toegangscomponenten aan:

1. De mobiele sleutel. Op ondersteunde apparaten genereert en bewaart de telefoon deze sleutel in de beveiligde hardware. De sleutel kan niet worden geëxporteerd of naar een ander apparaat worden overgezet. De mobiele sleutel ondertekent ieder transactieverzoek van de cliënt.
2. De Blockrise Seed. De telefoon genereert dit herstelgeheim met zijn cryptografisch veilige randomgetalgenerator. De cliënt kan de seed opschrijven of gebruikmaken van de Blockrise Cloud Recovery-service. Daarbij wordt de seed versleuteld voordat deze in de eigen cloudomgeving van de cliënt wordt opgeslagen. De Blockrise Seed is nodig om de toegang te herstellen, omdat de mobiele sleutel niet kan worden geëxporteerd of overgezet.

Wanneer een cliënt een transactie autoriseert, ondertekent de telefoon het verzoek met de mobiele sleutel. De bijbehorende Bitcoin-sleutel in de HSM vereist deze autorisatie van de cliënt voordat de HSM een Bitcoin-handtekening kan produceren. Blockrise kan controles toepassen die een transactie tegenhouden, maar kan bitcoin van een cliënt niet verplaatsen zonder de vereiste autorisatie.

Securosys heeft eerder FIPS 140-2 Level 3-validatie behaald voor eerdere Primus HSM-hardware en -firmware. De CyberVault X2 is de nieuwere generatie en doorloopt momenteel het certificeringsproces voor FIPS 140-3 Level 3. Certificering is één bron van zekerheid binnen een breder beveiligingskader, naast de maatregelen die Blockrise toepast rond sleuteltoegang, autorisatie en herstel.

Technologie is slechts één onderdeel van dat kader. Blockrise Capital B.V. verleent bewaardiensten onder MiCAR en staat onder toezicht van de Autoriteit Financiële Markten. Blockrise combineert HSM-bescherming met gesegregeerde cliëntwallets, cryptografische bevestiging van transacties, multifactorauthenticatie, operationele controles en periodieke audits. De attestatiefunctionaliteit van Securosys biedt daarnaast een technische manier om relevante kenmerken van apparaten en sleutels te controleren. De samenvatting van het custodybeleid beschrijft de belangrijkste maatregelen rond bewaring, segregatie, toegang en verantwoording.

Wat getroffen COLDCARD-gebruikers moeten doen

Heb je ooit een seed phrase gegenereerd met een COLDCARD en kun je niet bevestigen dat de gebruikte firmware buiten de getroffen versies viel? Behandel de seed dan als mogelijk kwetsbaar en migreer de bitcoin uit voorzorg. Blockrise kan cliënten helpen hun situatie te beoordelen en een veilige migratie te plannen.

Houd rekening met het volgende:

• Het bijwerken van de COLDCARD-firmware herstelt een bestaande seed phrase niet.
• Dezelfde seed phrase herstellen of importeren in een andere hardwarewallet maakt deze niet veilig.
• Maak een volledig nieuwe seed aan op een niet-getroffen apparaat of op een COLDCARD met de nieuwste herstelde firmware.
• Controleer de nieuwe wallet en het ontvangstadres op het apparaat zelf.
• Deel je seed phrase nooit met Blockrise, COLDCARD-support of iemand anders. Wees alert op phishingmails, websites en ongevraagde berichten.

De waarschuwing gaat over de oorsprong van de seed phrase, niet over de plaats waar deze nu wordt bewaard. Een seed die met getroffen COLDCARD-firmware is gegenereerd, kan kwetsbaar blijven nadat deze in een ander apparaat is geïmporteerd.