Սիդ-արտահայտության թերությունը, որը կոտրեց օֆլայն դրամապանակները

Առաջին ալիքը քսանհինգ րոպեում մոտ 500 դրամապանակից վերցրեց 594 BTC՝ մոտ $38 միլիոն։ Դրանցից ոչ մեկը տաք դրամապանակ չէր։ Ոչ մեկը համակարգչին միացած չէր եղել։ Դրանք օֆլայն սարքեր էին, որոնց տերերն արել էին այն ամենը, ինչ ձեռնարկներն են խորհուրդ տալիս։

Օգոստոսի կեսերին ընդհանուրն անցել էր 1778 BTC՝ այն ժամանակ մոտ $112 միլիոն, իսկ ընթացիկ թիվն այժմ մոտ $130 միլիոն է։ Այս լուրջ խախտումը պատճառվեց ոչ թե ֆիշինգ կայքից կամ վնասաբեր ստորագրությունից, այլ 2021-ի որոնվածի սխալից, որը որոշ դրամապանակների սիդերը կռահելի դարձրեց՝ արմատապես փոխելով ապարատային դրամապանակի անվտանգության երաշխիքները։

Ի՞նչն իրականում կոտրվեց

Դրամապանակի սիդը այն սկզբնական պատահական տվյալն է, որից գեներացվում են մասնավոր բանալիները, և այն կրիպտոարժույթի անվտանգության հենասյունն է։ Սիդը ստեղծվում է պատահականությունից։ Այդ պատահականությունը չափվում է էնտրոպիայի բիթերով, և ոլորտային ստանդարտը 128 բիթ է՝ բավական մեծ թիվ, որ ուժային ընտրությունը դառնա ոչ թե հաշվողական, այլ ֆիզիկայի խնդիր։

Տուժած սարքերում այդ թիվն իջավ մոտավորապես 40 բիթի։ Քառասուն բիթը ֆիզիկայի խնդիր չէ։ Դա վարձակալված սարքավորումով անցկացրած մեկ կեսօր է։

Հենց սա է միջադեպը կառուցվածքային առումով տարբերում մյուս բոլոր դրամապանակային պատմություններից։ Սարքից ոչինչ չգողացվեց։ Հարձակվողը երբեք չդիպավ դրան, PIN-ի կարիք չունեցավ, էկրանը չտեսավ։ Երբ սիդը ստեղծված է կանխատեսելի միջակայքում, մասնավոր բանալիները կարելի է վերականգնել աշխարհի ցանկացած կետից, իսկ տերը ոչ մի կերպ չի նկատի, մինչև մնացորդը շարժվի։

Ապարատային դրամապանակի անվտանգությունը հենվում է մեկ ենթադրության վրա՝ սարքի ներսում ստեղծված թիվը դրանից դուրս անհայտ է։ Երբ էնտրոպիան փլվում է, կույտի մնացած բոլոր պաշտպանությունները՝ անվտանգ տարրը, գաղտնաբառ-արտահայտությունը, PIN-ը, հակաբացման ցանցը՝ դառնում են դեկորացիա։

Ինչու օֆլայն մեկուսացումը չօգնեց

Օֆլայն մեկուսացումն անվտանգության միջոց է, որը սարքն անջատում է ցանկացած ցանցային կապից՝ չթույլատրված մուտքը կանխելու համար։ Այն պաշտպանում է կոնկրետ սպառնալիքից՝ վարակված համակարգիչը հասնի բանալիներին։ Այդ գործում այն լավ է աշխատում։

Բայց ծնունդից թույլ բանալու դեմ այն ոչինչ չի անում։ Ստորագրող սարքը կարելի է կնքել պահոցում, փաթաթել փայլաթիթեղով, երբեք չմիացնել ցանցի մոտ, և միջոցները միևնույն է կհեռանան, որովհետև հարձակվողը սարքին չի հարձակվում։ Նա հարձակվում է այն մաթեմատիկայի վրա, որը ստեղծել է սիդը։

Այս տարբերությունն արժե յուրացնել, որովհետև ապարատային դրամապանակի անվտանգության մասին խորհուրդների մեծ մասը լռելյայն ենթադրում է, որ հարձակվողը պետք է հասնի ձեր սարքին։ Սիդի ստեղծումը միակ ձախողման ռեժիմն է, որտեղ դա պետք չէ։

Անհարմար մասը՝ ինչպես գտնվեց թերությունը

Coinkite-ը ենթադրել է, որ հարձակվողները հնարավոր է արհեստական բանականությամբ մաղել են իր բաց կոդով որոնվածի հին տարբերակները և դուրս բերել թույլ տեղը։

Հափշտակումները հետևող Galaxy Research-ը արշավը նկարագրեց որպես դիտավորյալ, ծրագրավորված և հավանաբար մեծ լեզվական մոդելով համակարգված։ Օգոստոսի սկզբին նրանք քարտեզագրել էին մոտ $88,6 միլիոն 4585 հասցեներում. հարձակումները եկան երեք խոշոր ալիքով, գումարած տասնյակ ավելի փոքր դեպքեր։

Կարդացեք սա ուշադիր։ Կոդը հրապարակային էր 2021-ից։ Մարդ գրախոսներն այն տարիներ շարունակ դիտել էին։ Փոխվեց ոչ թե կոդը, այլ այն դիտելու արժեքը՝ մոդել ունեցող հարձակվողն այժմ կարող է կարդալ ցանկացած բաց որոնվածի ամեն պատմական տարբերակ, ինչը նախկինում տնտեսապես անշահավետ էր։

Պաշտպանական հեգնանքն այն է, որ Coinkite-ի սեփական եռշաբաթյա ուղղիչ վերանայումը նույնպես օգտագործեց արտաքին հետազոտողներ՝ AI մոդելների կողքին։ Նույն կարողությունն այժմ աշխատում է գծի երկու կողմում, և հաղթում է ավելի համբերատարը։

Ի՞նչ ուղղվեց

Ընկերությունը կոչ արեց Mk4, Mk5 և Q սարքերի տերերին անցնել 5.6.1 կամ 1.5.1Q որոնվածին։ Թողարկումն անդրադարձավ գործարքի ստորագրմանը, USB տվյալների մշակմանը, որոնվածի վավերացմանը, Delta ռեժիմին և դրամապանակի պահուստավորմանը։

Ամենախոսուն փոփոխությունը տեխնիկական չէ, այլ ընթացակարգային՝ սիդի ստեղծումն այժմ պահանջում է, որ օգտատերը ձեռքով ներդնի պատահականություն, դրամապանակ ստեղծելուց առաջ նվազագույն թվով ստեղնասեղմումներով։ Սարքն այլևս մենակ իրեն չի վստահում պատահական լինելու հարցում։

Սա ողջամիտ ուղղում է և միաժամանակ լուռ ընդունում ավելի խորը կետը։ Պատահականությունն ամենադժվար ստուգվող բանն է անվտանգության արտադրանքում, որովհետև թույլ պատահական թիվը ճիշտ նույն տեսքն ունի, ինչ ուժեղը։

Ի՞նչ է սա նշանակում, եթե ունեք որևէ ապարատային դրամապանակ

Coldcard-ի օգտատեր չե՞ք։ Դասը միևնույն է վերաբերում է, որովհետև ապարատային դրամապանակի անվտանգության այս տեսակի ձախողումը բրենդին հատուկ չէ։ Սիդ ստեղծող ցանկացած սարք կարող է այն վատ ստեղծել, և տերը նայելով չի հասկանա։

Թարմացրեք որոնվածը, բայց հասկացեք, թե թարմացումն ինչ է անում և ինչ՝ ոչ։ Նոր որոնվածն ուղղում է ապագա սիդի ստեղծումը։ Այն չի վերանորոգում արդեն թույլ ստեղծված սիդը՝ այդ բանալիները մնում են կռահելի ընդմիշտ, ահա թե ինչու տուժածները ստիպված էին միջոցները տեղափոխել, ոչ թե կարկատել ու հանգստանալ։

Սիդի ստեղծումը համարեք դրամապանակի կյանքի ամենառիսկային պահը։ Այն տեղի է ունենում մեկ անգամ, տևում է երեսուն վայրկյան և որոշում ամեն ինչ դրանից հետո։ Եթե ձեր սարքն առաջարկում է ավելացնել ձեր սեփական էնտրոպիան՝ զառախաղ, ստեղնասեղմումներ, մետաղադրամի նետում՝ օգտվեք դրանից, նույնիսկ եթե թատրոն է թվում։

Մի կրկնօգտագործեք նույն սիդը մի քանի սարքի վրա և մի վերականգնեք հին սիդը նոր սարքի վրա՝ չիմանալով, թե որ որոնվածի տարբերակն է այն ստեղծել։ Այս միջադեպում խոցելի պատուհանը ձգվում էր տարիներ ետ, և շատ տերեր վաղուց մոռացել էին, թե որ կառուցվածքն էին աշխատեցնում սկզբնական կարգավորման ժամանակ։

Բաժանեք պահումները տարբեր ժամանակ ստեղծված դրամապանակների միջև, իդեալականում՝ տարբեր արտադրողների տարբեր սարքերի վրա։ Դա հնչում է որպես պարանոյա, մինչև մեկ արտադրողի ամբողջ շարքը ընդգրկող էնտրոպիայի սխալը միանգամից վերցնում է 4585 հասցե։

Ինչպես ստուգել ազդեցությունը

Ձեր ապարատային դրամապանակի անվտանգության աուդիտը սկսվում է կոնկրետ սարքի որոնվածի պատմությունից, ոչ թե մոդելային շարքից։ Արտադրողները հրապարակում են, թե որ կառուցվածքներն են տուժել. ձեր ստեղծման ամսաթիվն այդ ցանկի հետ համեմատելը միակ հուսալի ստուգումն է։

Եթե դրամապանակը ստեղծվել է տուժած պատուհանում, սիդը համարեք վտանգված՝ անկախ նրանից՝ միջոցները շարժվել են, թե ոչ։ Հարձակվողներն աշխատում են ցուցակներով, և հանգիստ հասցեն միայն նշանակում է, որ ձեր հերթը դեռ չի հասել։

Լուծումը միգրացիան է, ոչ թե կարկատումը։ Ստեղծեք նոր սիդ թարմացված որոնվածի վրա, ստուգեք ստացման հասցեն սարքի էկրանին, տեղափոխեք միջոցները և ընդմիշտ հանեք հին սիդը շրջանառությունից՝ ոչ որպես պահուստ, ոչ որպես պահեստային։

Եվ զգուշացեք հետագա խարդախությունից։ Այս մասշտաբի ամեն միջադեպից օրերի ընթացքում հետևում են «վերականգնման ծառայությունները» և կեղծ արտադրողի աջակցությունը, որոնք խնդրում են հենց այն սիդ-արտահայտությունը, որը իբր փրկում են։

Ավելի լայն դասը

Բաց կոդը հաճախ ընկալվում է որպես անվտանգության երաշխիք։ Այն երաշխիք չէ։ Այն գրախոսության նախապայման է, իսկ գրախոսությունն առանձին գործունեություն է, որը ինչ-որ մեկը պետք է իրականում կատարի, ֆինանսավորի և կրկնի։

Յոթ տարի այս որոնվածը հրապարակային էր և տարածված։ Սխալը միևնույն է գոյատևեց, որովհետև ոչ ոք պատճառ չուներ վերընթերցելու հին կոմիտները, մինչև տնտեսությունը փոխվեց։

Զգալի մնացորդների համար ապարատային դրամապանակի անվտանգությունը դեռևս ճիշտ լռելյայն ընտրությունն է՝ հատուկ ստորագրող սարքով ինքնապահպանումը շատ ավելի ապահով է, քան բանալիները նոութբուքում թողնելը։ Այս միջադեպը վերանայում է մշտականության ենթադրությունը։ 2021-ին ապահով սարքն այսօր ինքնաբերաբար ապահով չէ, և կարևոր աուդիտն այն էր, որը ոչ ոք չկատարեց։