Is jouw Ledger nog veilig na de Coldcard kwetsbaarheid?

De ontdekking van een ernstige beveiligingsfout in bepaalde Coldcard firmware versies heeft de cryptogemeenschap opgeschrikt. Het probleem ligt niet in het stelen van private keys uit de hardware wallet zelf, maar eerder in het genereren van de seed phrase. Ledger stelt dat zijn apparaten niet getroffen zijn door deze kwetsbaarheid en werkt met een eigen systeem voor willekeurige nummergeneratie.

In het kort:

• Coldcard Mk3 gebruikte onvoldoende willekeurige data bij het maken van seeds, waardoor aanvallers deze theoretisch kunnen raden
• Ledger zegt zijn True Random Number Generator in de hardware chip te gebruiken, wat volledige 256-bits entropie garandeert
• Niet iedereen loopt even hoog risico: het hangt af van je firmware versie, of je een passphrase gebruikte, en hoe je seed gegenereerd werd

Wat ging er fout bij Coldcard?

Coinkite ontdekte dat specifieke firmwareversies van de Mk3 onvoldoende willekeurige data gebruikten. Een hardware wallet hoort een seed te maken met 256 bits volledige entropie, wat ongeveer 2^256 mogelijke seeds oplevert. Dit getal is praktisch onmogelijk om door te zoeken. Bij de getroffen Coldcard Mk3 firmware (4.0.1 en later) bedraagt de effectieve entropie echter slechts ongeveer 40 bits. Ter vergelijking: 256 bits is onmogelijk te raden, maar 40 bits is voor een goed gefinancierde aanvaller realistisch haalbaar.

De aanval werkt als volgt: een aanvaller kan offline miljoenen of miljarden mogelijke seeds genereren, daarvan Bitcoin adressen afleiden en vergelijken met adressen op de blockchain. Zodra hij een match vindt, kent hij jouw seed en kan hij je private keys afleiden. Dit alles zonder jouw Coldcard ooit in handen te hebben gehad. Bij andere Coldcard modellen (Mk4, Mk5 en Q) ligt de effectieve entropie op ongeveer 72 bits, wat het probleem minder ernstig maakt maar niet helemaal elimineert.

Wanneer loop jij risico?

Je risico is hoog als je een Mk3 gebruikte met getroffen firmware, de seed op de Coldcard zelf hebt laten genereren, geen extra BIP39 passphrase gebruikte, en een normale single signature wallet hebt. In dat geval is je seed mogelijk afkomstig uit een veel kleinere zoekruimte.

Je risico is veel kleiner of afwezig als je de seed volledig met dobbelstenen hebt gegenereerd, een sterke en geheime BIP39 passphrase gebruikte, multisig gebruikte met hardware wallets die niet getroffen zijn, of een nieuwe seed hebt aangemaakt nadat de firmware was gerepareerd. Een passphrase fungeert als extra geheim boven op de 24 woorden. Zelfs als een aanvaller de seed weet, mist hij nog de passphrase, wat brute forcing praktisch onhaalbaar maakt.

Waarom Ledger niet kwetsbaar is

Ledger gebruikt een True Random Number Generator die fysiek in de Secure Element chip zit. Dit betekent dat de willekeur uit hardware komt, niet uit een software algoritme. Elke nieuwe seed krijgt daarom volledige 256 bits entropie. Er is geen kleine verzameling mogelijke seeds waar een aanvaller doorheen kan zoeken. Ledger gebruikt deze fundamentele aanpak al sinds 2018.

Dit maakt Ledger echter niet per se veiliger in alle opzichten. De les uit dit incident is vooral dat de veiligheid van een hardware wallet niet alleen afhangt van het Secure Element, maar ook van de implementatie van de random number generator. Één fout tijdens het aanmaken van de seed kan jaren later nog leiden tot verlies van fondsen.