Peretasan kartu kredit mengungkap jebakan dalam model keamanan reputasi

Para penyerang mengeksploitasi kerentanan entropi pada firmware Coldcard dan berhasil mencuri sekitar 114 juta dolar AS dalam bentuk Bitcoin dari lebih dari 709 alamat. Gelombang pertama serangan tersebut mengosongkan sekitar 500 dompet hanya dalam waktu 25 menit. Inti dari kerentanan ini adalah bahwa tingkat keacakan yang seharusnya terjamin saat menghasilkan seed dompet tidak terpenuhi. Kode yang menjadi penyebab masalah ini diperkenalkan pada bulan Maret 2021 dan telah dibiarkan terbuka di repositori sumber terbuka selama lebih dari 5 tahun. Jack Herbert, salah satu pendiri dan CEO Foundation, berpendapat bahwa insiden ini memiliki makna yang lebih dalam daripada sekadar kesalahan teknis. Ia menyoroti riwayat perubahan lisensi Coldcard. Pada tahun 2020, ketika sebuah perusahaan pesaing mengumumkan pengembangan perangkat berdasarkan kode GPL, CEO Coinkite, Rodolfo Novak (NVK), menulis di Twitter (yang kemudian dihapus) bahwa ia menyesali keputusannya memilih GPL. Pada November tahun yang sama, Coldcard mengadopsi lisensi baru yang mencakup Commons Clause, dan bahkan FAQ resmi dari lisensi tersebut secara eksplisit menyatakan bahwa "hasilnya tidak lagi bersifat open source." Setelah itu, dilakukan perombakan kode yang besar, dan commit terakhir yang menghapus kode GPL, yaitu pada Maret 2021, ternyata sama dengan commit yang menyebabkan kerusakan pada fungsi pembuatan seed. Herbert mengakui bahwa ia tidak dapat secara pasti mengukur sejauh mana tekanan lisensi memengaruhi ruang lingkup atau kecepatan penulisan ulang, namun ia menekankan bahwa "kode enkripsi yang telah teruji diganti dengan tergesa-gesa setelah perubahan lisensi yang bertujuan untuk membatasi persaingan, dan penggantian tersebut memiliki cacat." Prinsip perangkat lunak bebas dan sumber terbuka bertujuan untuk memastikan bahwa keamanan tidak bergantung pada pilihan perusahaan tertentu. Budaya permusuhan terhadap para peneliti keamanan juga disebut sebagai salah satu penyebab utama. Pada Agustus 2020, ketika para peneliti dari Shift Crypto dan Nunchuk mengungkapkan kerentanan pada verifikasi multisig Coldcard, NVK menyebut pengungkapan tersebut sebagai "terorisme PR" dalam podcast Citadel Dispatch. Pada tahun 2023, ketika proyek WalletScrutiny melaporkan masalah reproduksi pada versi lama, NVK justru melabeli mereka sebagai tidak kompeten dan jahat, bahkan menyebutkan kemungkinan tuntutan hukum. Investigasi lebih lanjut yang independen kemudian mengkonfirmasi bahwa memang ada masalah reproduksi pada versi lama tersebut, dan menyimpulkan bahwa para peneliti tidak memiliki niat jahat. Serangan terhadap para peneliti tersebut mengubah perhitungan risiko yang harus ditanggung oleh orang berikutnya, dan akibatnya, mengurangi kesempatan bagi seseorang untuk menemukan bug terlebih dahulu. Herbert menyebut fenomena ini sebagai "penangkapan epistemologis." Dengan pernyataan yang sama berulang kali disebarkan melalui podcast dan platform yang sama, hal itu terasa seperti fakta yang telah diverifikasi secara independen, dan komunitas secara bertahap mendelegasikan penilaian mereka kepada satu tokoh otoritas. Pembawa acara BTC Sessions, Ben Perrin, baru-baru ini mengakui secara jujur dalam siaran langsung bahwa "mereka membenarkan perilaku sombong karena mereka berasumsi bahwa kesombongan itu datang bersamaan dengan kemampuan luar biasa dalam menciptakan produk.". Herbert menekankan bahwa prioritas utama saat ini adalah penyediaan panduan migrasi bagi pengguna yang terdampak, dan penting untuk memperjelas bahwa data yang dihasilkan dari versi yang rentan tidak dapat dipulihkan melalui pembaruan firmware. Selain itu, ia menyerukan perbaikan terhadap konten rekomendasi yang tidak terverifikasi di masa lalu, serta pemberian kesempatan berbicara kepada para peneliti yang menjadi korban serangan. Ia mengakhiri tulisannya dengan pesan, "Verifikasi, jangan percaya pada vendor, atau bahkan pada kritikus vendor, tetapi verifikasi.".