Kukaan ei klikannut mitään – 1 367 bitcoinia katosi lompakoista, joiden avaimet oli arvattu valmiiksi

Torstain vastaisena yönä kello 01.10 UTC alkoi tyhjennys, joka kesti 41 minuuttia. Sen päätyttyä 1 196 bitcoin-osoitetta oli tyhjä ja 1 082,65 bitcoinia oli siirretty pois, arvoltaan noin 70,2 miljoonaa dollaria.

Kukaan omistajista ei ollut klikannut mitään. Uhrit olivat tehneet juuri sen, mitä turvallisuusohjeissa neuvotaan: he käyttivät laitelompakkoa ja pitivät sen verkon ulkopuolella. Yhtään linkkiä ei avattu, yhtään sovellusta ei asennettu eikä yhteenkään viestiin vastattu.

Galaxy Research kartoitti siirrot lohkoketjusta ja löysi niistä kaikista saman kädenjäljen. Jokainen siirto maksoi täsmälleen 30,0 satoshia virtuaalitavulta eli 30–75-kertaisesti sen viikon mediaaniin nähden. Vaihtorahaa ei palautettu yhteenkään osoitteeseen.

Lohkot olivat 960 183–960 191. Uhriosoitteista 1 183 oli BIP-84-muotoisia, seitsemän BIP-49-muotoisia ja kuusi BIP-44-muotoisia.

Perjantaina seurasi toinen aalto, 76,16 bitcoinia 1 478 osoitteesta. Kolmas aalto ulottui perjantaista lauantaihin ja vei noin 208 bitcoinia 1 912 osoitteesta. Juoksevaksi summaksi kertyy 1 367 bitcoinia eli noin 88,6 miljoonaa dollaria kaikkiaan 4 585 osoitteesta.

Luvut ovat vaihdelleet uutisoinnissa melko paljon, koska sama tapaus on laskettu eri hetkinä. CoinDesk kirjasi ensimmäisenä 594 bitcoinia ja noin 38 miljoonaa dollaria, mutta se oli kesken olevan tyhjennyksen välitulos eikä erillinen tapaus.

Juuri niin tässä kävi. Satunnaisluvun paikalle päätyi ohjelmallinen kaava, jota syötettiin sirun omalla sarjanumerolla ja ajastimen lukemalla. Molemmat ovat ennustettavia.

Hyökkääjä voi siis laskea ehdokassiemenet valmiiksi omalla koneellaan, johtaa niistä osoitteet ja katsoa julkisesta lohkoketjusta, missä on rahaa. Mitään ei tarvitse murtaa eikä uhriin tarvitse olla yhteydessä.

Virhe syntyi vuonna 2021 tehdyssä kirjastonvaihdossa. Käännösaikainen varmistus oli kirjoitettu laukeamaan silloin, kun tietty asetus puuttuu, mutta asetus oli olemassa ja sen arvoksi oli kirjattu nolla. Varmistus ei laukennut kertaakaan.

Block Engineeringin tutkijat kuvaavat kohdan lyhyesti.

– #ifndef varmistaa vain sen, että makro on olemassa. Se ei hylkää makroa, jonka arvo on nolla.

Efektiivinen satunnaisuus putosi Mk3-laitteissa noin 40 bittiin ja Mk4-, Mk5- ja Q-laitteissa noin 72 bittiin. Tavoite oli 128 bittiä.

Mitkä laitteet ovat listalla

Coinkite vahvisti virheen laiteohjelmistoversioissa. Mk2 ja Mk3 ovat alttiita versioissa 4.0.1–4.1.9, ja korjaus tuli versiossa 4.2.0. Mk4 ja Mk5 ovat alttiita ennen versiota 5.6.0 ja Q ennen versiota 1.5.0Q.

Ikkuna aukeaa 17.3.2021. Mk1, TAPSIGNER, OPENDIME ja SATSCARD eivät ole listalla. Yhtiö kertoo tuhonneensa toimittamattoman varastonsa, jossa oli altista laiteohjelmistoa.

– Näillä malleilla ei pidä luoda uutta siementä ennen kuin päivitys on asennettu, Coinkite toteaa ohjeessaan.

Ketju bugista varkauteen on toistaiseksi tutkijoiden päättely. Coinkite on vahvistanut virheen mutta ei sitä, että se aiheutti tyhjennykset.

BleepingComputer käyttää sanamuotoa "todennäköisesti yhteydessä", ja Galaxy Research sanoo syyn olevan yhä vahvistamatta. Tutkimusyhtiö pitää auki myös toimitusketjun ja sivukanavahyökkäyksen.

CVE-tunnistetta ei löytynyt yhdestäkään lähteestä. Ensimmäisen aallon päättymisen ja valmistajan tiedotteen välissä kului noin 30 tuntia, eli varoitusikkunaa ei ollut lainkaan.

Suomessa hiljaista

Yksikään suomalainen viranomainen ei ole kommentoinut tapausta tätä artikkelia kirjoitettaessa. Kyberturvallisuuskeskukselta ei ole tullut mainintaa, ja sen viikkokatsaus on kesätauolla 7.8. asti. Finanssivalvonnalta, poliisilta ja Traficomilta ei löydy lausuntoa Coldcardista eikä laitelompakoista yleisemmin, eikä yksikään suomalainen tiedotusväline ole uutisoinut asiasta.

Taustaa löytyy silti. Suomen Pankki kertoi helmikuussa, että noin 4 prosenttia kotitalouksista omisti kryptovaroja vuonna 2023 ja niiden arvo oli noin 2,2 miljardia euroa. Varakkain kymmenys hallitsi 69 prosenttia tuosta arvosta.

Omistus on siis keskittynyttä, samaan tapaan kuin varkaus, joka osui 4 585 osoitteeseen. Kumpikaan luku ei kerro yhdestäkään suomalaisesta uhrista.

Ennen ohjeita yksi varoitus. Coinkite muistuttaa erikseen, ettei siirtoa kannata tehdä hätiköiden.

– Kiireinen lompakon vaihto voi luoda välittömämmän riskin kuin se ongelma, jota olet ratkaisemassa, yhtiö toteaa.

Mitä tehdä

• Ratkaisevaa on se, millä laiteohjelmistolla siemen luotiin, ei laitemalli eikä ostoajankohta. Jos et ole varma, oleta laite alttiiksi.
• Laiteohjelmiston päivitys ei korjaa jo luotua siementä. Järjestys on päivitä laiteohjelmisto, luo uusi siemen, varmista se ja siirrä varat vasta sitten.
• Lompakko on turvassa, jos siemeneen sekoitettiin vähintään 50 omaa yksityistä nopanheittoa tai jos käytössä on vahva ja ainutkertainen BIP-39-tunnuslause.
• Varkaudesta tehdään Suomessa rikosilmoitus sähköisesti poliisi.fi-palvelussa. Nopeus ratkaisee.

Turvallisuusohjeen ydin on yleensä käyttäjän oma toiminta. Tässä tapauksessa se osuus hoidettiin moitteettomasti. Luottamus lepäsi oikeastaan yhdellä rivillä käännösasetuksia, jota yksikään lompakon omistaja ei ole koskaan päässyt katsomaan.