Brain Wallet

Der Reiz war offensichtlich: einen Satz auswendig lernen, ohne etwas bei sich zu tragen über eine Grenze reisen, die Wallet auf der anderen Seite neu erstellen. Der Fehler war ebenso einfach, denn Menschen wählen erratbare Sätze, und ein Angreifer kann Kandidaten kostenlos offline testen. Eine wissenschaftliche Studie aus 2016 identifizierte 884 Brain Wallets, die zwischen 2011 und 2015 1.806 Bitcoin hielten, und alle bis auf 21 davon waren geleert worden.

So funktioniert es

Status: Brain Wallets wurden aufgegeben, nachdem 2015 öffentliche Knackwerkzeuge erschienen, und keine derzeit gepflegte Wallet bietet die Option an. Vom Gerät erzeugte Wiederherstellungsphrasen haben sie vollständig ersetzt.

Die Konstruktion ist eine Zeile Code. Man nimmt die Phrase, wendet SHA-256 darauf an und behandelt die resultierenden 32 Bytes als privaten Schlüssel. Es gibt kein Salt, keine Zufallskomponente und keine absichtliche Langsamkeit. Dieselbe Phrase erzeugt daher denselben Schlüssel für jede Person auf der Erde, die je darauf kommt, was ein Geheimnis in ein Suchproblem verwandelt.

Angreifer nutzen das direkt aus. Sie erstellen eine Liste aller Adressen, die je ein Guthaben gehalten haben, laden sie in eine schnelle Datenstruktur für Mitgliedschaftsabfragen und hashen dann Kandidatenphrasen millionenfach: Liedtexte, Verse aus heiligen Schriften, Filmzitate, Passwörter aus alten Datenlecks und jede Zeichenkette, in die sich diese Quellen permutieren lassen. Jeder Hash wird in Mikrosekunden gegen die Adressliste geprüft. Ryan Castellucci führte den Angriff im August 2015 auf der DEF CON 23 vor und veröffentlichte brainflayer, das Werkzeug, das die Technik alltäglich machte. Dasselbe Forschungsteam zählte rund ein Dutzend konkurrierender Leerungswerkzeuge, die auf neue Einzahlungen warteten, weshalb eine mit Guthaben bestückte Brain Wallet in der Regel innerhalb eines Tages geleert wurde und oft innerhalb von Minuten.

Die menschliche Auswahl der Phrase ist der Teil, der sich nicht beheben lässt. Selbst ein Satz, den Sie für originell halten, liegt in einem Suchraum, der weit kleiner ist als 2 hoch 256, das ein zufälliger Schlüssel einnimmt, und der Angreifer braucht nur die Phrasen, die Menschen tatsächlich wählen.

Wo sie auftaucht

Brain Wallets sind Geschichte, doch die Idee kehrt unter neuen Namen zurück, deshalb lohnt es sich, sie zu erkennen. WarpWallet, 2014 von Keybase veröffentlicht, versuchte das Konzept mit scrypt und PBKDF2 plus einer E-Mail-Adresse als Salt zu retten, was die Kosten pro Versuch erhöht, ohne daran etwas zu ändern, dass ein Mensch die Eingabe gewählt hat.

Die aktuelle Verwechslung betrifft das Auswendiglernen einer echten Wiederherstellungsphrase. Zwölf Wörter, die eine Hardware-Wallet erzeugt, tragen 128 Bits Maschinenentropie und bleiben stark, ob Sie sie zusätzlich auswendig lernen oder nicht. Eine von Ihnen erfundene Phrase trägt die Entropie, die Ihre Vorstellungskraft enthält, und die ist weit geringer, als sie sich anfühlt. Wenn eine Website, eine App oder ein Werkzeug für ein „individuelles Vanity-Seed“ Sie auffordert, einen selbst ausgedachten Satz einzugeben, und dafür eine Wallet verspricht, schließen Sie sie.

Brain Wallet vs. Passphrase

Eine Brain Wallet ist das gesamte Geheimnis; eine BIP-39-Passphrase ist ein zusätzlicher Faktor, der über maschinell erzeugte Wörter gelegt wird. Dieser Unterschied entscheidet über den Angriff. Um eine Brain Wallet durchzuprobieren, braucht ein Gegner nichts als eine Wortliste und Strom, denn die Adressen sind öffentlich. Um eine Passphrase durchzuprobieren, muss ein Gegner bereits Ihre Wiederherstellungswörter besitzen, was bedeutet, dass der Angriff erst nach einer physischen Kompromittierung beginnt. Schwache menschliche Eingaben sind in beiden Fällen gefährlich, aber nur eine von beiden ist ab dem Moment, in dem sie mit Guthaben bestückt wird, dem gesamten Internet ausgesetzt.