Een beveiligingsprobleem genaamd “Randstorm”, ontdekt door de cryptocurrency herstelfirma Unciphered, bedreigt naar schatting meer dan $1 miljard aan crypto valuta in oude Bitcoin (BTC) portemonnees.
Dit probleem treft portemonnees die voor 2016 zijn aangemaakt, waarbij sommige zelfs teruggaan tot maart 2012.
Kwetsbaarheid in software
Unciphered onthulde dat deze portemonnees een kwetsbaarheid bevatten door een gebrekkig gebruik van random number generators in open-source software, zoals BitcoinJS. Dit maakt ze vatbaar voor brute-force aanvallen. Het probleem zit in de sleutels die worden gebruikt; deze zijn berekend met nummers die veel minder willekeurig zijn dan zou moeten, waardoor ze gemakkelijker te kraken zijn.
De firma heeft al meer dan een miljoen mensen gecontacteerd om hen te waarschuwen, maar het werkelijke aantal getroffen gebruikers is waarschijnlijk veel hoger. Gebruikers kunnen controleren of hun portemonnee getroffen is via de website keybleed.com.
De kwetsbaarheid is vooral aanwezig in portemonnees gecreëerd via populaire crypto exchanges zoals Blockchain.info (nu hernoemd tot Blockchain.com), Dogechain.info (de belangrijkste bron voor Dogecoin-portemonnees), en andere websites. Volgens Eric Michaud, mede-oprichter van Unciphered, lopen gebruikers van crypto portemonnees die met BitcoinJS zijn gebouwd een zeer hoog risico.
Hoewel de meeste portemonnees die tussen maart 2012 en eind 2015 zijn gecreëerd veilig lijken, zou minstens twee procent kwetsbaar kunnen zijn. De random number generators die in de crypto communityworden gebruikt, zijn sindsdien verbeterd, waardoor nieuwere portemonnees veiliger zijn.
Blockchain.com, een van de populairste sites die de gebrekkige software gebruikte, heeft een automatische updatefunctie geïmplementeerd voor de wallets van gebruikers wanneer ze het platform bezoeken. Ze hebben ook e-mails gestuurd naar 1,1 miljoen getroffen klanten.
Hoewel het probleem slechts in twee procent van de 90 miljoen gecreëerde portemonnees aanwezig was, lopen miljoenen andere gebruikers die hun portemonnees van inmiddels gesloten bedrijven hebben verkregen, nog steeds risico.
