كوينكيت، الشركة الكندية وراء محفظة Coldcard المادية، حذرت المستخدمين من أن أموال البيتكوين قد تكون معرضة للخطر إذا تم توليد بذرة المحفظة على إصدارات معينة من البرامج الثابتة المتأثرة.
قالت الشركة إن المشكلة تؤثر على كل إصدار من برنامج Mk3 منذ الإصدار 4.0.1، الذي صدر في مارس 2021، وهي مرتبطة بعنصر العشوائية الذي يُنشئه الجهاز عند إنشاء البذور.
الأموال لا تزال معرضة للخطر
يتأثر أيضًا البذور المولدة على Mk4 وMk5 قبل إصدار البرنامج الثابت 5.6.0، وعلى Q قبل إصدار 1.5.0Q، على الرغم من أن Coinkite said أن التأثير على هذه الطرازات أقل حدة لكنه لا يزال خطيرًا. وفقًا للشركة، تحتوي البذور المتأثرة على حوالي 72 بت من الإنتروبيا بدلاً من الـ 128 بت المتوقعة. ووفقًا للتحديث، لا تتأثر TAPSIGNER وOPENDIME وSATSCARD لأنها تستخدم قواعد كود مختلفة.
حثت Coinkite المستخدمين الذين تأثروا على نقل أموالهم إلى بذرة جديدة تم إنشاؤها على جهاز غير متأثر. وقالت الشركة إن مستخدمي Mk4 وMk5 يجب أولاً الترقية إلى إصدار البرنامج الثابت 5.6.0 أو أحدث، بينما يجب على مستخدمي Q تثبيت الإصدار 1.5.0Q أو أحدث قبل إنشاء بذرة بديلة.
كما نُصح المستخدمون بعمل نسخة احتياطية من الكلمة السرية الجديدة والتحقق منها، وتأكيد عنوان استلام جديد على الجهاز، وإجراء معاملة اختبار صغيرة قبل نقل الأموال المتبقية. إذا كان Mk3 هو الخيار الوحيد المتاح، فقد تم اقتراح استخدام عبارة مرور BIP-39 قوية وفريدة مؤقتًا والتحقق بعناية من بصمة المحفظة وعنوان الاستلام.
سرقة واسعة النطاق
جاءت التوصية بعد ظهور عدة تقارير في 30 يوليو تفيد بأن البيتكوين قد تم سحبه من محافظ Coldcard. أفاد Atlas21 أن عملية آلية swept 500 عنوانًا بتوقيع واحد عبر أربعة كتل متتالية، من 960188 إلى 960191. نقلت المعاملات 1,324 UTXO بقيمة إجمالية قدرها 594.5 BTC، أي ما يعادل حوالي 38 مليون دولار حسب الأسعار الحالية. وأشارت الأدلة إلى ضعف المفاتيح الخاصة التي تم إنشاؤها عند إنشاء المحافظ.
لم تكن محافظ متعددة التوقيع أو Taproot من بين الضحايا.
كانت الخسارة المتوسطة 0.41 BTC، بينما خسر 110 ضحايا أكثر من بيتكوين واحد. كانت أكبر خسارة 29.9 وحدة من الأصل الرقمي، بينما تكالفت العملية حوالي 0.044 وحدة في رسوم المعاملات. وقال Atlas21 إن أول تحذير عام جاء من ضحية على Reddit، قال إن جهاز Coldcard الخاص به أنشأ عبارة البذور المكونة من 24 كلمة في عام 2021، ولم تُدخل عبارة البذور أبداً على جهاز كمبيوتر.
على الرغم من التدفق الهائل، ظل سعر البيتكوين غير متأثر حيث استمر في التداول قرب 64,000 دولار.
ظهرت المقالة تحذير مستخدمي Coldcard Mk3 من المخاطر بعد سحب 594 BTC من 500 عنوان لأول مرة على CryptoPotato.