กระเป๋าเงิน Bitcoin ที่สร้างขึ้นระหว่างปี 2011 ถึง 2015 มีความเสี่ยงต่อการถูกโจมตีรูปแบบใหม่
ที่เรียกว่า Randstorm ซึ่งทำให้สามารถกู้คืนรหัสผ่านและเข้าถึงกระเป๋าเงินจำนวนมากโดยไม่ได้รับอนุญาต
ซึ่งครอบคลุมแพลตฟอร์มบล็อกเชนหลายแห่ง
Randstorm() เป็นคำที่เราตั้งขึ้นเพื่ออธิบายกลุ่มของบัค, การตัดสินใจในการออกแบบ,
และการเปลี่ยนแปลง API ที่เมื่อเข้าถึงกัน, รวมกันเพื่อลดประสิทธิภาพของตัวเลขสุ่มที่ถูกสร้างขึ้นโดยเบราว์เซอร์เว็บในช่วงเวลาที่ระบุ (2011-2015) และคาดว่าประมาณ 1.4 ล้าน Bitcoins ถูกเก็บไว้ในกระเป๋าเงินที่สร้างขึ้นด้วยคีย์เข้ารหัสที่อาจอ่อนแอ ผู้ใช้สามารถตรวจสอบได้ว่ากระเป๋าสตางค์ของตนมีช่องโหว่หรือไม่ที่ www.keybleed[.]com
บริษัทกู้คืนสกุลเงินดิจิทัลกล่าวว่าได้ค้นพบปัญหาอีกครั้งในเดือนมกราคม 2022 ขณะที่กำลังดำเนินการให้กับผู้ใช้ที่ไม่ระบุชื่อซึ่งถูกล็อกไม่ให้เข้ากระเป๋าสตางค์ Blockchain.com ปัญหานี้ได้รับการเน้นย้ำครั้งแรก
ในปี 2018 โดยนักวิจัยด้านความปลอดภัยที่ใช้นามแฝงว่า “ketamine.”
จุดสำคัญของช่องโหว่นี้เกิดจากการใช้ BitcoinJS ซึ่งเป็นแพ็คเกจ JavaScript แบบโอเพ่นซอร์ส
ที่ใช้สำหรับการพัฒนาแอปพลิเคชันกระเป๋าเงินดิจิทัลบนเบราว์เซอร์ โดยเฉพาะอย่างยิ่ง Randstorm มีรากฐาน
มาจากการพึ่งพาฟังก์ชัน SecureRandom() ของแพ็คเกจใน JSBN Javascript Library ควบคู่ไปกับจุดอ่อน
ในการเข้ารหัสที่มีอยู่ในเวลานั้นในการใช้ฟังก์ชัน Math.random() ของเว็บเบราว์เซอร์ ซึ่งอนุญาตให้มีหมายเลขPseudorandom ที่อ่อนแอ ผู้ดูแล BitcoinJS ได้ยุติการใช้ JSBN ในเดือนมีนาคม 2014
เป็นผลให้การขาด Entropy เพียงพอสามารถนำไปใช้ในการโจมตีแบบ Brute-force และกู้คืนคีย์ส่วนตัวของกระเป๋าเงินที่สร้างด้วยไลบรารี BitcoinJS (หรือโปรเจ็กต์ที่ขึ้นต่อกัน) กระเป๋าเงินที่ง่ายที่สุดในการถอดรหัสคือกระเป๋าที่สร้างขึ้นก่อนเดือนมีนาคม 2012
การค้นพบนี้แสดงให้เห็นอีกครั้งเกี่ยวกับการพึ่งพาโอเพ่นซอร์สที่ขับเคลื่อนโครงสร้างพื้นฐานซอฟต์แวร์ และช่องโหว่ในไลบรารีพื้นฐานดังกล่าวสามารถมีความเสี่ยงใน Cascading Supply Shain ได้อย่างไร ดังที่เปิดเผยไว้ก่อนหน้านี้ในกรณีของ Apache Log4j ในปลายปี 2021
ช่องโหว่นั้นได้ถูกสร้างขึ้นในกระเป๋าเงินที่สร้างด้วยซอฟต์แวร์แล้ว และมันจะยังคงอยู่นั่นไปเรื่อยๆ
จนกว่าเงินจะถูกย้ายไปยังกระเป๋าเงินใหม่ที่สร้างด้วยซอฟต์แวร์ใหม่
Ref: https://thehackernews.com/2023/11/randstorm-exploit-bitcoin-wallets.html