تم نقل حوالي 594 بيتكوين، بقيمة حوالي 38 مليون دولار، من حوالي 500 محفظة منفصلة بين الساعة 01:31 و01:56 بالتوقيت العالمي المنسق يوم الجمعة في هجوم نتج عن عيب في كيفية توليد محفظات Coldcard المادية لمفاتيحها.
السرقة نقلت 1,324 قطعة من البيتكوين عبر 500 معاملة داخل نافذة مكونة من ثلاثة كتل، ثم تم دمج 562 بيتكوين في عنوان واحد لم يتحرك.
كانت كل محفظة مُستنزَلة موقَّعة بتوقيع واحد، وكل منها تحتوي على أكثر من 0.15 BTC. وكان العديد منها خاملًا لسنوات، وامتدت العملات من 2021 إلى 2026، مما يتطابق تقريبًا مع عمر العيب.
Coldcard هو محفظة أجهزة مصممة من قبل الشركة الكندية Coinkite، وهي جهاز صغير مستقل يخزن مفاتيح البيتكوين بشكل غير متصل بالإنترنت، بعيدًا عن الحواسيب المتصلة بالإنترنت. Mk2 وMk3 وMk4 وQ وMk5 هي أجيال متتالية لهذا المنتج، تم إصدارها على مدى عدة سنوات بنفس الطريقة التي تُطلق بها شركات الهواتف نماذج مرقمة.
يعتمد التعرض على البرنامج الثابت الذي كان يعمل عليه الجهاز في اللحظة التي تم فيها إنشاء المحفظة لأول مرة، وليس على وقت شراء الجهاز.
الكلمة السرية للمحفظة، وهي العبارة السرية التي تتحكم في الأموال، مصممة لتُستخرج عشوائيًا من مجموعة هائلة لدرجة أن التخمين مستحيل.
لم يكن برنامج Coldcard الثابت يقوم بذلك. وفقًا لتقرير نشره فريقا هندسة Bitcoin والأمان في Block، أخبر إعداد بناء الجهاز بتجاوز مولد العشوائية الخاص به، وقام فحص في مكتبة داعمة بفحص ما إذا كان هذا الإعداد موجودًا فقط، وليس ما إذا كان مفعّلًا.
انخفض إنشاء المفتاح بهدوء إلى بديل برمجي أساسي مُستَنِد إلى رقم التسلسل والمسجلات الزمنية للرقاقة.
لا شيء من ذلك أسرار. رقم التسلسل هو بيانات مصنع ثابتة، وقيم الساعة هي حالة توقيت يمكن للمهاجم تضييقها أو قياسها على جهاز خاص به. قام Block بتتبع التغيير إلى التزام مُسجل في 1 مارس 2021، وتم إرساله في برنامج ثابت 4.0.0 ذلك الشهر.
وبالتالي، حذّر Coinkite المستخدمين الذين أنشأوا بذرة على جهاز Mk3 يعمل بالإصدار 4.0.1 أو أحدث، وقال: "لا يتأثر Mk4 وQ وMk5 بناءً على تحليلنا المبكر."
قالت Block إنها أبلغت Coinkite بالنتائج، حيث اعترف فريقها بها. وتصف كلا الشركتين تحليلاتهما بأنها أولية، وقالت Block إنها نشرتها دون إجراء اختبارات كاملة للتحقق من قابلية الاستغلال لأن الاستغلال كان جارياً بالفعل.
العرض يمتد عبر بذور المحافظ. نفس المولد أنتج المفاتيح الخاصة لمحفظة Coldcard الورقية، حيث يصبح الإخراج المفتاح مباشرة دون أي مشتقات إضافية، إلى جانب قناعات تقسيم البذور ومفاتيح نسخ الأجهزة وعمليات نقل Key Teleport.
تم تداول البيتكوين فوق 64,000 دولار في الساعات المبكرة من آسيا، حيث بدا أن التدفق الواسع النطاق له تأثير ضئيل على السوق.