Cliente perde BTC 0.4 instantaneamente da Coldcard ao gerar uma entropia fraca

[Forsyth Jones]

Recentemente em minhas pesquisas, estava interessado em saber como que gera a própria entropia de forma segura, seja rolando dados ou jogando cara ou coroa X vezes.

No meio do caminho me deparei com um caso no reddit em que um cliente da coldcard perdeu quase meio bitcoin (0.4) ao gerar uma entropia fraca rolando apenas 1x vez o dado (ele devia ter gerado pelo menos 50 vezes que é o requisito mínimo para uma entropia segura de 12 palavras).

Na Coldcard tem uma opção para o próprio usuário gerar sua própria entropia utilizando alguma fonte de entropia (como dados, moeda...).

O cliente fez isso acreditando que a Coldcard geraria o restante da entropia (mas que lógica mais absurda é essa), poxa, se o cliente esperava que a wallet gerasse o restante da entropia, por que ele não escolheu a opção da própria Coldcard gerar a carteira de maneira segura?

A wallet recem-criada foi drenada em menos de 1 minuto. E por que isso acontece? Existem bots de monitoramento que fazem varredura 24/7 de brainwallets com frases comuns, números (qualquer coisa que gere entropia fraca), o mesmo acontece com carteiras com baixa entropia, esses bots estão constantemente realizando varreduras dessas carteiras que teve suas seeds geradas com entropia muito fracas. E teve gente no reddit comentando sobre o caso, acusando a coldcard por causa disso, sem ter conhecimento sobre esses bots.

Moral da história: Não faça nada sem conhecimento prévio, principalmente envolvendo seu dinheiro/seus bitcoins e criptomoedas em geral, pessoas com conhecimentos em Bitcoin já cometem erros, imagina quem está ingressando agora e de cara querer gerar a sua própria entropia sem nem saber o funcionamento de uma carteira e os riscos envolvidos se não fizer os passos com segurança.

Existem muitos relatos de pessoas que configuraram carteiras, usaram passphrase, mas ou perderam a passphrase ou confundiram ela com a senha de criptografia de abrir/ou permitir gastar os fundos da carteira, gerar carteiras com derivation paths desconhecidos, exposição de seeds (enviar por email, pra um desconhecido...), salvar a seed errada gerando outra em seguida (algumas carteiras permitem que o usuário retroceda no passo de geração de carteiras, mas ao voltar na tela de exibição da seed phrase, uma nova seed phrase é gerada, fazendo com que o usuário salve ou a seed anterior ou essa nova, com 50% de probabilidade de perda de fundos).

São tantos exemplos... Comentem casos que você conhece de pessoas que teve seus bitcoins roubados/perdidos por erro humano.


Caso relatado no Medium em PT-BT: https://medium.com/@alexemidio/se-n%C3%A3o-tem-um-conhecimento-profundo-sobre-entropia-lan%C3%A7amento-de-dados-requisitos-e-verifica%C3%A7%C3%A3o-86eb18abd486

Link do reddit: https://www.reddit.com/r/coldcard/comments/17epqk8/040_bitcoin_taken_instantly_from_my_coldcard/?rdt=36415

[TryNinja]

Claro que ele foi vitima da própria ignorancia, mas a carteira devia ao menos indicar que a entropia não é suficiente e exigir uma confirmação bem forte para continuar (tipo exigir que ele digitasse em um campo: "sei que a entropia é baixíssima e há um grande risco nisso".

O usuário usou 1 dice roll (uma única rolagem de dados). A entropia dele literalmente foi: "5"... Isso não deveria ser fácilmente possível.

[sabotag3x]

O usuário usou 1 dice roll (uma única rolagem de dados). A entropia dele literalmente foi: "5"... Isso não deveria ser fácilmente possível.

Isso seria o mesmo que criar uma seed phrase com apenas uma palavra? estou testando a ferramenta do Ian Coleman e quanto menor o nível de entropia, menos palavras aparecem na mnemônica.

se mudo para "12 palavras" ao invés de "3 a cada 24 bytes", ele informa que "a mnemônica aparentará ser mais forte do que realmente é".. interessante isso, nem todas mnemônicas são criadas iguais.. 24 segundos para crackear a "escuta alterar amoroso derramar vilarejo reenvio vetorial espiga poda depressa disparo crise"

[TryNinja]

O usuário usou 1 dice roll (uma única rolagem de dados). A entropia dele literalmente foi: "5"... Isso não deveria ser fácilmente possível.

Isso seria o mesmo que criar uma seed phrase com apenas uma palavra? estou testando a ferramenta do Ian Coleman e quanto menor o nível de entropia, menos palavras aparecem na mnemônica.

se mudo para "12 palavras" ao invés de "3 a cada 24 bytes", ele informa que "a mnemônica aparentará ser mais forte do que realmente é".. interessante isso, nem todas mnemônicas são criadas iguais.. 24 segundos para crackear a "escuta alterar amoroso derramar vilarejo reenvio vetorial espiga poda depressa disparo crise"

Não necessariamente. Nesse caso o OP criou uma carteira de 24 palavras, é realmente mudar lá em baixo para aparecer essa mensagem.

Entropy 5
Mnemonic Length 24 words

Vai gerar a seed: "upset hammer panda shoulder rich beyond prize around echo clean seek segment peanut much size grape rookie law rapid burger film fitness mobile rent"

Essa é a carteira que ele gerou e enviou 0.4 BTC.

[joker_josue]

É verdade que ele vitima da seu desconhecimento, e talvez tenha feito "seguir... seguir... seguir", sem ler metade do que a tela dizia.

Qualquer das formas, também acho que o Coldcard deveria ter um sistema de alerta, para tentar evitar este tipo de casos. Muito provavelmente esse individuo iria sofrer o mesmo problema, mas pelo menos, haveria um alerta prévio para tentar evitar/minimizar estes casos.

[Forsyth Jones]

É verdade que ele vitima da seu desconhecimento, e talvez tenha feito "seguir... seguir... seguir", sem ler metade do que a tela dizia.

Qualquer das formas, também acho que o Coldcard deveria ter um sistema de alerta, para tentar evitar este tipo de casos. Muito provavelmente esse individuo iria sofrer o mesmo problema, mas pelo menos, haveria um alerta prévio para tentar evitar/minimizar estes casos.

Concordo, eu não conheço a coldcard e o pouco que eu conheço é assistindo tutoriais de YouTube, porém acho que ela chega a avisar sim na tela, mas o usuário pode ter seguido sem mesmo ler, o sistema pode ser seguro o quanto for, mas infelizmente não é a prova de falha humana.

A coldcard é a melhor HW, quero muito ter ela um dia, mas ela fica muito caro se for importar e corre um risco alto de ser taxado, ela tem até gerenciador de senhas derivado da sua seedphrase, achei isso super avançado e me deu vontade de ter uma (mais ainda).

[nikolaspaolo]

migos sobre entropia rola uma seed velhona que pessoal usa para testes.

Pode digitar ai em qualquer wallet de qualquer criptomoeda que consegue acessar

use a palavra WORD 12X, é isso.

OBS: nao envie saldo para esses enderecos, vai saber quem é o dono.

[Forsyth Jones]

migos sobre entropia rola uma seed velhona que pessoal usa para testes.

Pode digitar ai em qualquer wallet de qualquer criptomoeda que consegue acessar

use a palavra WORD 12X, é isso.

OBS: nao envie saldo para esses enderecos, vai saber quem é o dono.

Fato interessante, existem várias seedphrases compostas pela mesma palavra, mas se financiar algum endereço gerada por essas wallets, dica thauzinho pro seu dinheiro, pois pode ter certeza que seedphrases assim são monitoradas por bots de monitoramento, eles conseguem sacar desses endereços em segundos após detectado alguma nova transação.

[joker_josue]

migos sobre entropia rola uma seed velhona que pessoal usa para testes.

Pode digitar ai em qualquer wallet de qualquer criptomoeda que consegue acessar

use a palavra WORD 12X, é isso.

OBS: nao envie saldo para esses enderecos, vai saber quem é o dono.

Qual é a probabilidade de essa seed ser automaticamente atribuída novamente?
Acredito que a probabilidade disso acontecer seja bem baixa.

[nikolaspaolo]

Nem acho que qualquer software consiga gerar uma frase tao boba hoje em dia, mas nao sei ao certo eu lembro de digitar 12 x word na electrum mobile, na mycelium e na coinomi.

Aparece operacao lá, ou seja, histórico de 2019 ou se nao me engano de 2017.

Centavinhos de eth, doge, btc, varias pequenas movimentacoes.

[Disruptivas]

Entropy 5
Mnemonic Length 24 words

Vai gerar a seed: "upset hammer panda shoulder rich beyond prize around echo clean seek segment peanut much size grape rookie law rapid burger film fitness mobile rent"

Essa é a carteira que ele gerou e enviou 0.4 BTC.

Mas o que eu não consigo entender é porque essa seed seria uma seed fácil de adivinhar e os bots conseguem fazer essa varredura. Eu entendo a teoria e toda questão da entropia, mas quando penso ''no resultado'' das 12 palavras, parece que falta alguma informação que eu não consigo entender 100% o funcionamento.

Alguém tem algum conteúdo pra indicar que seja só sobre o funcionamentos desses bots de monitoramento que fazem varredura 24/7 ? É algo que já ouvi falar e sei que existe, mas nunca entendi de verdade o funcionamento disso.

migos sobre entropia rola uma seed velhona que pessoal usa para testes.

Pode digitar ai em qualquer wallet de qualquer criptomoeda que consegue acessar

use a palavra WORD 12X, é isso.

OBS: nao envie saldo para esses enderecos, vai saber quem é o dono.

Não entendi qual é o teste aqui! Pode explicar um pouco melhor?
Ta dizendo de usar '' WORD 12X'' como passphrase junto a seed e que o resultado seria uma wallet que seria drenada?

[sabotag3x]

Não entendi qual é o teste aqui! Pode explicar um pouco melhor?
Ta dizendo de usar '' WORD 12X'' como passphrase junto a seed e que o resultado seria uma wallet que seria drenada?

Se você criar uma carteira com a seed "word word word word word word word word word word word word" vai aparecer uma carteira que alguém já utilizou.. devem ter vários outros exemplos do tipo de seeds fracas justamente por serem fáceis de serem memorizadas.

Mas o que eu não consigo entender é porque essa seed seria uma seed fácil de adivinhar e os bots conseguem fazer essa varredura. Eu entendo a teoria e toda questão da entropia, mas quando penso ''no resultado'' das 12 palavras, parece que falta alguma informação que eu não consigo entender 100% o funcionamento.

Alguém tem algum conteúdo pra indicar que seja só sobre o funcionamentos desses bots de monitoramento que fazem varredura 24/7 ? É algo que já ouvi falar e sei que existe, mas nunca entendi de verdade o funcionamento disso.

Ataques de força bruta são mais rápidos/fáceis nessas seeds fracas.. então os bots já tem acesso a uma grande "biblioteca de seeds".. mesmo que um endereço esteja virgem, algum bot pode já ter acesso a ele antes de você e estar pronto para mover os fundos assim que eles chegam na carteira.. infelizmente também não conheço nenhum artigo sobre.

Saindo das seeds e indo para chaves privadas, tem o site keys.lol.. as chaves privadas da primeira página e da última página estão comprometidos, por exemplo.. Fonte: https://keys.lol/bitcoin/1

[joker_josue]

Não entendi qual é o teste aqui! Pode explicar um pouco melhor?
Ta dizendo de usar '' WORD 12X'' como passphrase junto a seed e que o resultado seria uma wallet que seria drenada?

Se você criar uma carteira com a seed "word word word word word word word word word word word word" vai aparecer uma carteira que alguém já utilizou.. devem ter vários outros exemplos do tipo de seeds fracas justamente por serem fáceis de serem memorizadas.

Basicamente os bots têm lista de seeds já conhecidas, sequência de palavras que são de fácil memória, e outras combinações fáceis ou comuns.

É o mesmo dos bots das passwords, que o primeiro teste é sempre "password" "admin" "1234", etc.

A questão é que com a melhoria do hardware e o IA, em breve as seeds terão de ter mais palavras.

[sabotag3x]

É o mesmo dos bots das passwords, que o primeiro teste é sempre "password" "admin" "1234", etc.

Ótima analogia!

Essa semana estava criando uma conta em algum lugar, o serviço logo me avisou que minha senha já tinha vazado em outro lugar.. até eles tem essas bases de dados.. Essas carteiras poderiam criar um aviso do tipo para seeds fracas.

[Forsyth Jones]

É o mesmo dos bots das passwords, que o primeiro teste é sempre "password" "admin" "1234", etc.

Ótima analogia!

Essa semana estava criando uma conta em algum lugar, o serviço logo me avisou que minha senha já tinha vazado em outro lugar.. até eles tem essas bases de dados.. Essas carteiras poderiam criar um aviso do tipo para seeds fracas.

Por isso se faz necessário ter uma senha diferente pra cada conta, mas eu admito, isso da muito trabalho, as vezes até eu meto a mesma senha de um serviço que eu tenho conta, mas eu sei que eu to negligenciando minha segurança e devo pagar as consequências caso der ruim.


Pra esses casos, um Gerenciador de senhas como o Keepass, BitWarden é uma mão na roda, ele gera senhas aleatórias pra você e você pode manter salvo offline ou deixar na núvem, eu prefiro manter offline e fazer backups periodicamente do banco de dados que contém as senhas.

Voltando nesse lance da seedphrase contendo a mesma palavra 12x como "word", como que isso da checksum? Sendo que se eu for escolher a dedo 12 palavras da lista de palavras do BIP39 provavelmente vai dar checksum inválido? Entendeu? Como que é possível uma seedphrase conter 12 palavras iguais e dar checksum e outra não dar?

[alexrossi]

Tbm tinha a correct horse battery staple que era mto usada nos testes, era uma vinheta do xkcd

[Carinha que mora logo ali]

Mano eu tava falando algo parecido nesse post: https://bitcointalk.org/index.php?topic=5493482.msg63966663

mas vc entrou em um ponto interessante, a entropia. O que defina se a entropia é forte ou fraca é aleatoriedade, pfff obvio kkkk, mas pesquisando mais a fundo, o ser humano nao consegue fazer uma boa entropia, nem apertando qualquer tecla ou escolhendo uma frase boa ou um jargão...

computadores usam uma conta maluca para essa aleatoriedade:
https://pt.wikipedia.org/wiki/Geradores_congruentes_lineares

com uma entropia fraca, gera os mnemônicos fracos e um endereço privado ridículo. Vc pode ver um site rodando no seu navegador podre, gerando vários por segundo, imagina um hacker russo com uma rig com 20 placa RTX 4090 rodando um script de algum kbytes   

https://keys.lol/bitcoin






E no meu post a duvida era se pegar uma sequencia de mesma palavra usando o seedpicker.net pra gerar a ultima, mas adicionando a extensão que seria a palavra 25 ou passphrase, qual a chance de alguém descobrir minha carteira
pelo que vi, usando força bruta ate quebrar

exemplo: usando a sequencia: zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo zoo buddy
gera a chave privada : zprvAderntpe4AVaSRhqGdXj92Lpic3K1NxN7xMjvWcxNWMzz42us23fH4E9EhYKEHvFA1i3o7tULMW sp8dqeQWieNfXMaEnFnu2tq68p38deLa


mas se adicionar uma passphrase do tipo: palmeiranaotemmundialkkk@123
a chave privada muda para: zprvAcVdNPCMNRgzKCZJivhFnQ23wfmsxKWidDAbmQ6P5SZQXuwCUjXwnShYW3ULhUjJVxovTfSSLR8 pNKkeL4Ea5oTeNtDHf2TkxhCKAzvZ75n

muito alcançável usando um gerador de como do site que falei antes
mas não tão fácil se usar o caminho dos mnemônicos+passphrase



mas fui convencido que melhor entropia é a da maquina e nao minha, mas a passphrase é indispensável... 

[sabotag3x]

Estava lendo um tweet agora e lembrei desse tópico:

Esse endereço de #Bitcoin 13zb1hQbWVsc2S7ZTZnP2G4undNNpdh5so tem mais de 6 Bitcoins nela, mais de 2 milhões de Reais. Essa carteira tem apenas 66 Bits em sua entropia, a sua carteira tem em média 128 ou 256 bits.
A seed dessa carteira tem essa aparência:

abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon palavra18 palavra19 palavra20 palavra21 palavra22 palavra23 palavra24

Ou seja, você precisa apenas "descobrir as últimas 7 palavras" para que os 6 Bitcoins se tornem seus, basta apenas pegar as 2048 palavras do BIP39 e ficar combinando elas até encontrar a chave privada.

Tem grupos de especialistas na área desde 2015, aprimorando algoritmios tentando decifrar uma carteira de 66 bits, enquanto você aí preocupado se alguém irá "advinhar as suas palavras e te roubar", não se preocupe com isso, é impossível atualmente quebrar a criptografia de uma carteira de 128 ou 256 bits.

Link rápido para a carteira: https://mempool.space/pt/address/13zb1hQbWVsc2S7ZTZnP2G4undNNpdh5so

Quanto tempo para essa carteira ser crackeada?

Nos comentários do tweet tem uma galera fornecendo alguns cálculos de quão difícil é quebrar essa entropia.

[joker_josue]

Estava lendo um tweet agora e lembrei desse tópico:

Esse endereço de #Bitcoin 13zb1hQbWVsc2S7ZTZnP2G4undNNpdh5so tem mais de 6 Bitcoins nela, mais de 2 milhões de Reais. Essa carteira tem apenas 66 Bits em sua entropia, a sua carteira tem em média 128 ou 256 bits.
A seed dessa carteira tem essa aparência:

abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon palavra18 palavra19 palavra20 palavra21 palavra22 palavra23 palavra24

Ou seja, você precisa apenas "descobrir as últimas 7 palavras" para que os 6 Bitcoins se tornem seus, basta apenas pegar as 2048 palavras do BIP39 e ficar combinando elas até encontrar a chave privada.

Tem grupos de especialistas na área desde 2015, aprimorando algoritmios tentando decifrar uma carteira de 66 bits, enquanto você aí preocupado se alguém irá "advinhar as suas palavras e te roubar", não se preocupe com isso, é impossível atualmente quebrar a criptografia de uma carteira de 128 ou 256 bits.

Link rápido para a carteira: https://mempool.space/pt/address/13zb1hQbWVsc2S7ZTZnP2G4undNNpdh5so

Quanto tempo para essa carteira ser crackeada?

Nos comentários do tweet tem uma galera fornecendo alguns cálculos de quão difícil é quebrar essa entropia.

Mas esse é mesmo um exercício real?
Ou seja, a seed dessa wallet é mesmo essa? Só falta as ultimas 7 palavras? 

[Forsyth Jones]

Mas esse é mesmo um exercício real?
Ou seja, a seed dessa wallet é mesmo essa? Só falta as ultimas 7 palavras? 

Parece que não, 66 bits pode ser qualquer coisa, uma string aleatória que pode representar uma chave WIF ou um Mnemônico BIP39. De qualquer maneira, é possível criar seeds com palavras repetidas (ou até mesmo uma seed composta unicamente por uma palavra seguida várias vezes).

Seed é uma ferramenta de backup, ela não foi feita pra ser segura (embora seja), mas se eu quiser, eu posso criar uma seed insegura como essa com palavras repetidas e criar uma passphrase BIP39 muito forte, contanto que a passphrase seja muito forte, será inviável força-la (brute force).

Você pode criar sua seed com um arquivo, pegando o hash dele e converter os dados alfanuméricos em entropia pra formar um mnemônico BIP39.

Eu penso que o recurso de passphrase é quase que obrigatório, mas sem ele já é seguro se for gerado por uma carteira segura.