Ledger Donjon extrahiert Geheimnisse des Coldcard Mk3 mit mehrfacher Laser-Fault-Injection

Am 3. Juni 2021 stellte Olivier Hériveaux von Ledger Donjon auf der SSTIC-Konferenz in Rennes einen Angriff auf den sicheren Speicherchip Microchip ATECC608A vor, der im Coldcard Mk3 den ATECC508A ersetzt hatte, nachdem Donjon zuvor den Mk2 angegriffen hatte (siehe ledger-donjon-coldcard-mk2-laser-pin-recovery-2020).

Laut dem Paper umgeht eine doppelte Laser-Fault-Injection zwei Sicherheitsprüfungen innerhalb eines einzigen Befehls und liest einen geschützten Datenslot aus: Beim Coldcard ist dies der Slot mit dem PIN-Hash, der den Zugriff auf den Seed-Slot freigibt. Da der Mk3 den Seed zusätzlich mit einem Schlüssel verschlüsselt, der in seinem Mikrocontroller STM32L496 liegt, reicht ein Angriff auf das Secure Element allein nicht aus; Donjon gibt an, auch diesen Mikrocontroller angegriffen zu haben, mit hoher Erfolgswahrscheinlichkeit. Das Paper bezeichnet den Angriff als leicht reproduzierbar, sobald das Fehlermodell bekannt ist.

Auf der Hardwear.io 2023 berichtete Donjon, die Angriffskette auf drei vorkonfigurierte Wallets angewendet zu haben, die Coinkite ihm als Herausforderung zugeschickt hatte, und den Seed einer der drei wiederhergestellt zu haben; als riskanten Schritt beschreibt es die Präparation des Chips im echten Gerät. Donjon erklärt, die Schwachstellen seien Coinkite und Microchip mit einer sehr langen Frist vor der Veröffentlichung gemeldet worden.

Coinkites Offenlegungshistorie beschreibt die Arbeit als Demonstration in einem Speziallabor und erklärt, dass es keine Nachrüstung für den Mk3 gibt; der spätere Mk4 verteilt das Geheimnis auf drei Chips.