A me viene spontanea una sola domanda.
È mai possibile che nessuno si sia mai accorto di questo problema?
Solitamente questi progetti non sono obbligati a superare degli audit severi? Cioè anche chi ha fatto (e se lo ha fatto) l'audit non si è accorto di questa falla?
A me sinceramente suona strano
Coldcard è nato come un fork di Trezor (quest'ultimo distribuito sotto GPL).
Quando nvk (il principale programmatore di coldcard) si è accorto che altri stavano riutilizzando il suo codice, per avidità nel 2021 ne ha modificato la struttura ed è passato ad altra licenza che non permette la copia per fini commerciali.
Con quella modifica è stato introdotto il bug.
Essendo venuta meno la riproducibilità commerciale nessuno aveva più interesse a fare audit del suo software dato che comunque non era riutilizzabile.
Questa storia è anche l'ennesima testimonianza di come l'open source, anzi il free software, in questo genere di cose sia fondamentale. Perchè incentiva chiunque a testareL'altro brutto aspetto della faccenda è che Coldcard è sempre stata molto attiva nel marketing, sfruttando la purezza bitcoin e l'assenza di supporto per le alts (che invece c'è in prodotti come Ledger o Trezor).
In realtà è un'azienda con 5 dipendenti appena.
Nella modifica del 2021 il codice è stato riscritto in python ma la parte che gestiva il TRNG è rimasta in C. Chi ha fatto la modifica ha dimostrato di non conoscere il c perchè ha commentato l'istanza di una variabile (quella che attivava il TRNG) perchè dava errore in fase di compilazione in quanto valorizzata anche nel codice python. Il commento associato era "runs" (adesso funziona!).
"funziona" solo perchè disabilitava completamente la generazione di entropia della parte hardware, quella scritta in C.
Insomma una sequenza allucinante di errori, approssimazione, fuffa di marketing e avidità umana. Oltre ad una buona dose di sculo e di coincidenze che sono andate tutte storte.
Un pò come quando succede un disastro aereo e tutti diciamo "ma possibile con tutti i controlli che fanno?"
Di sicuro oggi viaggare in aereo è molto più sicuro anche "grazie" a tutti i disastri che sono successi in passato.
Anche la self custody in futuro sarà molto più sicura di adesso per lo stesso motivo.
Anche se è una ben magra consolazione per chi è stato vittima di questo disastro.
