শনিবার ০১:৩১ থেকে ০১:৫৬ UTC এর মধ্যে প্রায় ৫০০টি আলাদা ওয়ালেট থেকে প্রায় ৫৯৪ বিটকয়েন, যা প্রায় ৩৮ মিলিয়ন ডলারের সমমূল্য, কোল্ডকার্ড হার্ডওয়্যার ওয়ালেটগুলির তাদের কী তৈরির পদ্ধতিতে একটি ত্রুটির কারণে সরিয়ে নেওয়া হয়।
চুরির ফলে ৩-ব্লক উইন্ডোর মধ্যে ৫০০ ট্রানজেকশনে ১,৩২৪টি বিটকয়েন স্থানান্তরিত হয়, যার পর ৫৬২ বিটকয়েন একটি একক ঠিকানায় একত্রিত হয়, যা এখনও স্থানান্তরিত হয়নি।
প্রতিটি খালি ওয়ালেট একক-সিগনেচার ছিল এবং প্রতিটিতে 0.15 BTC-এর বেশি ছিল। অনেকগুলি বছর ধরে নিষ্ক্রিয় ছিল এবং কয়েনগুলি 2021 থেকে 2026 পর্যন্ত বিস্তৃত ছিল, যা ত্রুটির বয়সের সাথে প্রায় মেলে।
কোল্ডকার্ড হল কানাডিয়ান কোম্পানি কোইনকাইট দ্বারা তৈরি একটি হার্ডওয়্যার ওয়ালেট, যা একটি ছোট স্বতন্ত্র ডিভাইস যা বিটকয়েন কীগুলি ইন্টারনেট-সংযুক্ত কম্পিউটার থেকে দূরে অফলাইনে সংরক্ষণ করে। Mk2, Mk3, Mk4, Q এবং Mk5 হল এই পণ্যের ক্রমাগত প্রজন্ম, যা কয়েক বছর ধরে একটি ফোন নির্মাতা যেভাবে নম্বরযুক্ত মডেল চালু করে তেমনি চালু করা হয়েছে।
এক্সপোজার নির্ভর করে ডিভাইসটি যে ফার্মওয়্যার চালাচ্ছিল সেই মুহূর্তে, যখন ওয়ালেটটি প্রথম তৈরি হয়েছিল, যা হার্ডওয়্যারটি কেনার সময়ের সাথে সম্পর্কিত নয়।
একটি ওয়ালেটের সিড, যা ফান্ড নিয়ন্ত্রণ করে এমন গোপন ফ্রেজ, এমন একটি বিশাল পুল থেকে র্যান্ডমভাবে তৈরি করা হয় যে অনুমান করা অসম্ভব।
কোল্ডকার্ডের ফার্মওয়্যার সেটা করছিল না। ব্লকের বিটকয়েন ইঞ্জিনিয়ারিং এবং সিকিউরিটি টিমগুলি দ্বারা প্রকাশিত একটি প্রতিবেদন অনুসারে, একটি বিল্ড সেটিং ডিভাইসটিকে এর নিজস্ব হার্ডওয়্যার র্যান্ডমনেস জেনারেটর লাফিয়ে যেতে বলেছিল, এবং একটি সাপোর্টিং লাইব্রেরিতে একটি চেক শুধুমাত্র পরীক্ষা করেছিল যে সেই সেটিংটি বিদ্যমান আছে কিনা, এটি চালু আছে কিনা তা নয়।
কী জেনারেশন চিপের সিরিয়াল নম্বর এবং ক্লক রেজিস্টার থেকে সিড করা একটি বেসিক সফটওয়্যার বিকল্পে নীরবে চলে গেল।
এগুলোর কোনোটিই গোপন নয়। সিরিয়াল নম্বরটি ফ্যাক্টরি মেটাডেটা, এবং ক্লক মানগুলি হলো এমন টাইমিং স্টেট যা একজন আক্রমণকারী তাদের নিজস্ব ডিভাইসে সংকুচিত বা পরিমাপ করতে পারে। ব্লকটি পরিবর্তনটিকে ১ মার্চ, ২০২১-এর একটি কমিটের সাথে সংযুক্ত করেছে, যা সেই মাসে ফার্মওয়্যার ৪.০.০-এ শিপ করা হয়েছিল।
এর জন্য, কয়েনকাইট ব্যবহারকারীদের সতর্ক করেছে যারা 4.0.1 বা তার পরের সংস্করণ চালানো Mk3-এ একটি সিড তৈরি করেছিল, এবং বলেছে "Mk4, Q এবং Mk5 আমাদের প্রাথমিক বিশ্লেষণের ভিত্তিতে প্রভাবিত হয়নি।"
ব্লক বলেছে যে এটি তার প্রতিবেদন কয়েনকাইটকে জানিয়েছে, যার দল এগুলি স্বীকার করেছে। উভয় কোম্পানি তাদের বিশ্লেষণকে প্রাথমিক হিসাবে বর্ণনা করে, এবং ব্লক বলেছে যে এটি দুর্বলতা প্রমাণের জন্য পূর্ণাঙ্গ পরীক্ষা ছাড়াই প্রকাশ করেছে কারণ দুর্বলতা উপযোগীকরণ ইতিমধ্যেই চলছিল।
এক্সপোজারটি ওয়ালেট সীডের বাইরে চলে যায়। একই জেনারেটরটি কোল্ডকার্ডের পেপার ওয়ালেট প্রাইভেট কীগুলি তৈরি করে, যেখানে আউটপুট প্রত্যক্ষভাবে কী হয়ে যায়, কোনও অতিরিক্ত ডেরিভেশন ছাড়া, সীড-স্প্লিটিং মাস্ক, ডিভাইস ক্লোনিং কী এবং কী টেলিপোর্ট ট্রান্সফারসহ।
বিটকয়েন প্রাথমিক এশিয়ান ঘন্টায় 64,000 ডলারের উপরে ট্রেড হয়েছিল, যেখানে ব্যাপক ড্রেনের মনে হচ্ছে বাজারের উপর কোনো প্রভাব পড়েনি।