COLDCARD açığı sonrası ‘tek zar’ uyarısı yeniden gündemde

Donanım cüzdanı COLDCARD’daki rastgele seed üretimi açığı tartışılırken, bir güvenlik eğitmeninin 2023’te yayımladığı ‘tek zar atışı’ uyarı videosu yeniden gündeme geldi.

Odaily, 2’sinde COLDCARD RNG yani rastgele sayı üreteci açığının duyulmasının ardından donanım cüzdanı eğitim hesabı @YTCryptoGuide’ın 2023 tarihli videosunun yeniden dikkat çektiğini bildirdi. Videoda @YTCryptoGuide, COLDCARD Mk4’ün yalnızca bir kez zar atılsa bile cüzdan oluşturulmasına izin verdiğini belirtti. Zar atışı sayısı yetersiz kalırsa seed’i oluşturan rastgelelik, yani entropi düşebilir ve kullanıcı farkında olmadan zayıf bir cüzdan oluşturabilir.

@YTCryptoGuide ayrıca COLDCARD arayüzünün, kullanıcıda zarla girilen değerlerin cihazın kendi donanımsal RNG’siyle karıştırıldığı izlenimi yaratabileceğini, ancak bazı ayar akışlarında bunun gerçekte böyle olmadığını söyledi. Donanımsal RNG’ye tamamen güvenmek istemeyen deneyimli kullanıcılar zar yöntemini tercih edebiliyor. Uyarı, bu sürecin de kendi içinde açık barındırabileceğine işaret ediyor.

COLDCARD, Coinkite tarafından geliştirilen Bitcoin(BTC) odaklı bir donanım cüzdanı. Daha önce Mk2 ve Mk3 cihazlarında ciddi entropi üretimi açığı açıklanmış, bu açığın 38 milyon dolar (yaklaşık 53 milyar won) büyüklüğündeki Bitcoin hırsızlığıyla bağlantılı olabileceği gündeme gelmişti. Coinkite, etkilenen firmware sürümlerinde seed oluşturan kullanıcılara yamalı firmware’e geçmelerini, yeni seed üretmelerini ve varlıklarını taşımalarını tavsiye etmişti.

2023 tarihli videodaki uyarı, son dönemde sektör uzmanlarının yaptığı değerlendirmelerle de kesişiyor. Alex Thorn(Alex Thorn) Galaxy araştırma başkanı, 17 Mart 2021’den sonra yayımlanan COLDCARD firmware’ini kullanan, seed güvenliğini zar rastgeleliğiyle güçlendirmeyen ve passphrase belirlemeyen tek imzalı cüzdanların varlıklarını derhal başka bir cüzdana taşıması gerektiğini açıkladı. Thorn’a göre başka bir kaynaktan yüksek entropili seed kullanılmadıysa veya yeterli zar rastgeleleştirmesi yapılmadıysa COLDCARD ekosisteminden tamamen çıkılması gerekiyor.

Üç yıl önceki videoda işaret edilen zar yöntemi sorunu ile son dönemde açıklanan firmware açığının aynı problem olup olmadığı şimdilik kesinleşmiş değil. Coinkite’ın resmi açıklaması, açığın nasıl ortaya çıktığı ve hangi model ile firmware sürümlerini etkilediği konusunda ek doğrulamaya ihtiyaç var.