Ataki na Coldcard i Ledger podważają bezpieczeństwo portfeli sprzętowych

​Dwa poważne incydenty bezpieczeństwa związane z Coldcard i Ledger podważyły zaufanie do sprzętowych portfeli kryptowalutowych. Ataki ujawniły luki w urządzeniach od dawna uznawanych za jeden z najbezpieczniejszych sposobów przechowywania Bitcoin. Peter Todd, Jack Mallers i inne czołowe postacie branży zastanawiają się teraz, czy dedykowane portfele sprzętowe są warte związanego z nimi ryzyka, czy też alternatywne rozwiązania zapewniają lepszą ochronę.

2026 jest prawdopodobnie najgorszym odnotowanym rokiem pod względem incydentów bezpieczeństwa związanych z Bitcoin. Nie chodzi koniecznie o skalę utraconych środków, lecz o to, jak mocno dwa najpoważniejsze ataki tego roku uderzyły w rozwiązanie od dawna uznawane za złoty standard przechowywania kryptowalut: portfele sprzętowe. Eksperci ds. przechowywania aktywów otwarcie zastanawiają się, czy sprzęt przeznaczony konkretnie do kryptowalut w ogóle ma sens, podczas gdy inni przypominają, że od lat dzielą się zastrzeżeniami wobec tych urządzeń. Oczywiście wiele osób uważa również, że całkowite porzucenie portfeli sprzętowych byłoby przesadną reakcją.

Dla przypomnienia, Coinkite ujawniło latem, że błąd oprogramowania sprzętowego sięgający 2021 roku sprawił, iż niektóre urządzenia Coldcard generowały ziarna z niewystarczająco losowymi danymi, umożliwiając atakującym odtworzenie kluczy prywatnych offline i przejęcie środków. Użytkownicy zaufali oprogramowaniu sprzętowemu jednego dostawcy w najbardziej podstawowym zadaniu portfela — generowaniu losowego sekretu — i nie mieli łatwego sposobu, by dowiedzieć się, że proces zakończył się niepowodzeniem.

Następnie w tym miesiącu Ledger potwierdził, że atakujący otwierali oryginalne urządzenia i wyposażali je w niestandardowe implanty, które odczytywały frazy odzyskiwania z ekranu podczas konfiguracji, a następnie wysyłały je przez połączenie komórkowe. Bezpieczny chip Ledger nigdy nie został złamany; problem polegał na tym, że nikt nie mógł łatwo sprawdzić, czy urządzenie znajdujące się w jego rękach było tym samym, które opuściło fabrykę, bez żadnych modyfikacji.

Według szacunków podmiotów zewnętrznych szkody zarówno w wyniku ataku na łańcuch dostaw Ledger, jak i incydentu Coldcard przekroczyły 100M USD, co jasno pokazuje, dlaczego w przestrzeni krypto pojawiła się tak silna paranoja dotycząca bezpiecznego przechowywania środków.

Problemy wykraczają poza Coldcard i Ledger

Jack Mallers, CEO Strike, przedstawił niedawno w swoim programie kilka ogólnych wad portfeli sprzętowych. „Moim zdaniem portfele sprzętowe są bardziej ryzykowne, niż wydaje się rynkowi czy opinii publicznej” — powiedział. Dodał: „Wiąże się z nimi po prostu bardzo dużo domniemanego zaufania — na przykład do tego, że wysłane urządzenie nie zostało naruszone oraz do całego łańcucha dostaw. Zaangażowanych jest tak wiele stron”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Mallers zauważył również, że oprogramowanie sprzętowe open source nadal wymaga wystarczającej liczby recenzentów, aby można było mu zaufać, porównując stosunkowo niewielką bazę współtwórców Coldcard ze znacznie większą bazą Bitcoin Core. Jak powiedział, zakup portfela sprzętowego może również ujawnić adres e-mail i adres wysyłkowy klienta, jeśli u dostawców lub ich partnerów dojdzie do wycieku danych. Wskazał na wcześniejsze wycieki danych klientów Ledger oraz niedawny incydent dotyczący operatora wysyłek Trezor.

„Teraz hakerzy wiedzą, gdzie mieszkasz, a na ludzi przeprowadzane są ataki fizyczne” — powiedział, wskazując na wzrost liczby ataków typu „$5 wrench” na posiadaczy kryptowalut w ciągu ostatnich kilku lat.

Sprzęt ogólnego przeznaczenia a urządzenia przeznaczone do kryptowalut

Jedną z potencjalnych słabości portfeli sprzętowych jest dokładnie to, co czyni je użytecznymi: są budowane do jednego celu. Każdy, kto kupuje takie urządzenie, sygnalizuje, że może przechowywać cenne klucze prywatne, przez co urządzenia te stają się atrakcyjnymi celami ataków na łańcuch dostaw.

Peter Todd, współtwórca Bitcoin Core, od dawna ich unika właśnie z tego powodu. „Osobiście nie używam portfeli sprzętowych” — napisał na X. „Poleg­am na bezpieczeństwie @QubesOS w połączeniu ze zwykłym sprzętem (np. laptopami ThinkPad i Raspberry Pi) kupowanym anonimowo”.

Todd argumentował, że sprzęt ogólnego przeznaczenia jest znacznie trudniejszy do zaatakowania, ponieważ atakujący musiałby zainfekować backdoorem ogromną liczbę urządzeń, aby trafić na te nieliczne wykorzystywane do kryptowalut. „Sprzęt ogólnego przeznaczenia stanowi ogromną poprawę względem portfeli sprzętowych, ponieważ atakujący musi zainfekować backdoorem znacznie więcej urządzeń, aby zaatakować niszowy przypadek użycia” — dodał. „Być może tylko 1 na 100 laptopów lub Raspberry Pi będzie kiedykolwiek przechowywać kryptowaluty”.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Oczywiście nie jest to nowy pogląd Todda. W rzeczywistości on i inni przedstawiają ten argument od co najmniej ośmiu lat. Mallers również poruszył podobną kwestię w swoim programie. Zasugerował ponadto, że Bitcoin Core na laptopie offline może wystarczyć inwestorom długoterminowym, podczas gdy portfele sprzętowe mają większy sens w przypadku osób, które muszą regularnie podpisywać transakcje.

To powiedziawszy, Zach Herbert, CEO Foundation, ostrzegł na X, że sprzęt budowany samodzielnie również nie jest panaceum. „Jak długo potrwa, zanim sprzedawcy na Amazonie zaczną modyfikować Raspberry Pi i inne płytki deweloperskie, licząc na to, że ktoś użyje ich do przechowywania Bitcoin lub kryptowalut?” — zapytał.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Argumenty za portfelami sprzętowymi

Nie wszyscy są jeszcze gotowi całkowicie zrezygnować z portfeli sprzętowych. Coinkite broni swojej przezroczystej obudowy jako rozwiązania pozwalającego użytkownikom wykryć podmienione komponenty lub implanty. Ledger z kolei przedstawia swój incydent jako atak na dystrybucję, a nie awarię bezpiecznego chipa czy systemu operacyjnego. Ledger twierdzi również, że jego nadchodzące urządzenie Ledger Atom byłoby zabezpieczone przed konkretnym rodzajem exploita wykorzystanego w ataku na łańcuch dostaw.

Inni twierdzą, że portfele sprzętowe można uczynić bezpieczniejszymi, generując ziarna za pomocą rzutów kostką zamiast polegać na losowości urządzenia. „Dlatego wniesienie własnej entropii to najbezpieczniejsza i najprostsza droga” — napisał na X Shinobi, redaktor techniczny i opiniotwórczy Bitcoin Magazine.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Herbert wzywał do stosowania aktywnego, fizycznego wykrywania manipulacji oraz bardziej godnych zaufania procesów produkcyjnych, podczas gdy Todd wskazał na rozwiązania wysyłkowe umożliwiające wykrycie naruszenia, takie jak Entropy Seal, które Ledger powinien był stosować. Herbert zwrócił również uwagę na inny sposób ograniczenia ryzyka. „Multisig ochroniłby cię w tej sytuacji, ale nie jestem pewien, czy passphrase by to zrobiło” — napisał.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

To argument za multisig z udziałem wielu dostawców, w którym klucze są rozdzielone między urządzenia różnych producentów, dzięki czemu jedno przejęte urządzenie nie może przemieścić środków. Według Ivy Galindo, szefowej growth marketingu w BitGo, żadne z Bitcoin skradzionych w exploicie Coldcard ani w ataku na odsprzedawcę Ledger nie pochodziły z konfiguracji multisig.

„Multisig z udziałem wielu dostawców chroni przed atakami na łańcuch dostaw” — napisał również współzałożyciel Casa, Jameson Lopp, zauważając, że użytkownicy Casa nie ucierpieli w ataku na Ledger. Dostawcy usług wspomaganego przechowywania, tacy jak Casa i Unchained, oferują takie konfiguracje użytkownikom, którzy chcą uzyskać pomoc w zarządzaniu nimi bez całkowitej utraty kontroli nad kluczami.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Odpowiedzialność osobista jest trudna do oddelegowania

Tegoroczne incydenty powinny skłonić posiadaczy kryptowalut do ponownego rozważenia sposobu zabezpieczania Bitcoin i innych aktywów cyfrowych. Wniosek nie brzmi koniecznie, że portfele sprzętowe są bezużyteczne, lecz że żadne pojedyncze urządzenie ani firma nie zasługuje na ślepe zaufanie.

Wyświetl post na X Ładowanie...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

Smutna rzeczywistość jest taka, że niektórym osobom lepiej może służyć uzyskanie ekspozycji na Bitcoin za pośrednictwem ETF-u lub spółki skarbcowej Bitcoin, jeśli nie potrafią samodzielnie zabezpieczyć swoich monet i nie mają zaufanej osoby, która mogłaby im w tym pomóc. To trudny komunikat w systemie zaprojektowanym pierwotnie po to, by wyeliminować zaufane strony trzecie. Jak ujął to na X Paul Sztorc, założyciel i CEO LayerTwo Labs: „Trudno oddelegować osobistą odpowiedzialność”.