Hekerji kradejo bitcoine iz fizičnih denarnic
Strojne denarnice, imenovane tudi hladne denarnice (cold wallets), ker niso nikamor povezane, veljajo za zelo varen način hranjenja kriptovalut. Če pa vsebujejo hrošče ali napake, so lahko zelo ranljive. Zadnji teden hekerji množično kradejo bitcoine iz denarnic Coldcard podjetja Coinkite. Odtujili so že več kot 1600 bitcoinov, ki so vredni dobrih 70 milijonov evrov. Razlog je banalna napaka, ki jo je proizvajalec zagrešil pred petimi leti.
Ko so leta 2021 nadgradili firmware, so želeli spremeniti funkcijo za ustvarjanje naključnih števil, iz katerih se potem izračuna ključ. Namesto MicroPythonovega generatorja so želeli uporabiti strojnega, ki je vgrajen v denarnici, a so v kodi naredili napako. Tako se ni uporabljal noben generator naključnih števil, temveč preprosti psevdonaključni generator, ki je uporabljal le serijsko številko denarnice, čas in časovni register. Te podatke pa lahko ugane in iz njih ključ izračuna vsakdo, saj je možnih kombinacij le nekaj milijard.
Hekerji sedaj to ranljivost na veliko izkoriščajo. Preprosto generirajo milijarde kombinacij in preizkušajo, ali katera ustreza veljavni denarnici, ki ima aktivno stanje. Ko to najdejo, jo lahko na daljavo izpraznijo. Če so bitcoini zavarovani le s tem ključem, to zadostuje za krajo. Precej varnejši so računi, ki uporabljajo več podpisov (multisig), kjer kompromitacija enega samega ključa ni problematična.
Kako neki se je tako osnovna napaka primerila in kako je pet let ni nihče opazil, sedaj pa zaradi nje bežijo bitcoini, je sprožilo kopico špekulacij. Prizadeti uporabniki ne morejo storiti ničesar, če so bitcoine že izgubili. Kdor pa jih še ima, jih mora takoj prestaviti v drugo denarnico. Prizadete denarnice so že dobile popravek, a je treba ustvariti novo digitalno denarnico, da pride do izraza.
