🚨 Coldcard Mk3 Entropy Bug: কী ঘটেছে এবং আপনার কী করা উচিত 💰 কী ঘটেছে? ৩০-৩১ জুলাই, ২০২৬-এর মধ্যে, একজন আক্রমণকারী অত্যন্ত সমন্বিত এক আক্রমণে প্রায় ৫৯৪.৪৮ BTC (~$38M) ৫০০-র মতো সিঙ্গেল-সিগনেচার বিটকয়েন ওয়ালেট থেকে ড্রেইন করেছে। অন-চেইন হাইলাইটস - 🪙 ৫৯৪.৪৮ BTC চুরি হয়েছে - 👥 ~৫০০টি প্রভাবিত ওয়ালেট - 📦 ১,৩২৪টি UTXO সুইপ করা হয়েছে - ⏱️ প্রায় ২৫ মিনিটে সম্পন্ন - 💸 খুবই কম মোট ফি (~০.০৪৪ BTC) - 🔒 কোনো multisig বা Taproot ওয়ালেট প্রভাবিত হয়নি - 💤 অধিকাংশ ওয়ালেট ২০২১-২০২৬ সাল থেকে নিষ্ক্রিয় ছিল 🛑 মূল কারণ: ৫ বছর পুরনো ফার্মওয়্যার বাগ একটি সূক্ষ্ম ফার্মওয়্যার বাগের কারণে কিছু Coldcard হার্ডওয়্যার ওয়ালেট নির্ধারিত মাত্রার তুলনায় অনেক কম র‌্যান্ডমনেসসহ বিটকয়েন সিড জেনারেট করেছে। কী ভুল হয়েছিল? - মার্চ ২০২১-এ, Coldcard তাদের সিড জেনারেশন কোড পরিবর্তন করে। - বিল্ড কনফিগারেশন সমস্যার কারণে, ফার্মওয়্যার ভুলবশত হার্ডওয়্যার True Random Number Generator (TRNG)-এর পরিবর্তে একটি দুর্বল সফটওয়্যার PRNG ব্যবহার করেছে। - বাগটি পাঁচ বছর ধরে নজরে আসেনি। কার্যকর Entropy Mk3 - নির্ধারিত: ~১২৮ বিট - প্রকৃত: ~৪০ বিট Mk4 / Mk5 / Q - Mk3-এর চেয়ে ভালো, কিন্তু তবুও কমেছে - প্যাচড ফার্মওয়্যারের আগে প্রায় ~৭২ বিট এই হ্রাস অফলাইন brute-force আক্রমণকে নাটকীয়ভাবে আরও বাস্তবসম্মত করে তোলে। ⚠️ প্রভাবিত ডিভাইসসমূহ Coldcard Mk3 - ফার্মওয়্যার ৪.০.১ → ৫.০.৩ Coldcard Mk4 / Mk5 - ৫.৬.০-এর আগে তৈরি সিড Coldcard Q - ১.৫.০Q-এর আগে তৈরি সিড প্রভাবিত নয় - ✅ TAPSIGNER - ✅ SATSCARD - ✅ OPENDIME 🚨 গুরুত্বপূর্ণ শুধু ফার্মওয়্যার আপডেট করলেই বিদ্যমান দুর্বল সিড ঠিক হয় না। যদি সিডটি দুর্বল ফার্মওয়্যার ব্যবহার করে তৈরি হয়ে থাকে, তবে আপনাকে অবশ্যই সম্পূর্ণ নতুন সিড তৈরি করতে হবে এবং আপনার ফান্ড মাইগ্রেট করতে হবে। ✅ আপনার কী করা উচিত? আপনার ওয়ালেট প্রভাবিত হতে পারে যদি: ১. সর্বশেষ ফার্মওয়্যারে আপডেট করুন। ২. সম্পূর্ণ নতুন সিড জেনারেট করুন। ৩. ডিভাইসে আপনার ব্যাকআপ এবং receive address যাচাই করুন। ৪. একটি ছোট টেস্ট ট্রানজ্যাকশন পাঠান। ৫. যাচাইয়ের পর অবশিষ্ট BTC স্থানান্তর করুন। অস্থায়ী সুরক্ষা আপনার কাছে যদি শুধু Mk3 থাকে: - একটি শক্তিশালী, ইউনিক BIP-39 পাসফ্রেজ ব্যবহার করুন (আপনার PIN নয়), তারপর মাইগ্রেট করুন। - অথবা pure dice-roll পদ্ধতি ব্যবহার করে নতুন সিড জেনারেট করুন, যা ত্রুটিপূর্ণ RNG এড়িয়ে যায়। Dice Entropy সিড তৈরি করার সময় ৫০+ ব্যক্তিগত dice roll ব্যবহার করলে নির্দিষ্ট এই বাগের বিরুদ্ধে পর্যাপ্ত entropy পাওয়া যায়। 🏦 Coinkite-এর প্রতিক্রিয়া - একটি অফিসিয়াল সিকিউরিটি অ্যাডভাইজরি প্রকাশ করেছে। - entropy বাগটি নিশ্চিত করেছে। - ঘটনাটি তদন্ত করছে। - ৫৯৪ BTC চুরি সরাসরি এই দুর্বলতার কারণে হয়েছে বলে এখনও আনুষ্ঠানিকভাবে নিশ্চিত করেনি, যদিও স্বাধীন সিকিউরিটি রিসার্চারদের দৃঢ় বিশ্বাস এটি-ই সবচেয়ে সম্ভাব্য ব্যাখ্যা। 🔐 মূল শিক্ষা - ওপেন সোর্স হওয়া মানেই বাগ দ্রুত ধরা পড়বে—এমন নিশ্চয়তা নেই। - হার্ডওয়্যার ওয়ালেটের নিরাপত্তা তার randomness-এর উপরই নির্ভরশীল। - শক্তিশালী BIP-39 পাসফ্রেজ, স্বাধীন entropy এবং multisig নিরাপত্তা উল্লেখযোগ্যভাবে বাড়িয়ে দেয়। - ফান্ড মুভ করার আগে সবসময় ডিভাইসে address এবং ব্যাকআপ যাচাই করুন। শেষ কথা এই ঘটনা মনে করিয়ে দেয় যে self-custody শুধু আপনার কী-এর মালিক হওয়া নয়। এটি নিশ্চিত করাও জরুরি যে সেই কী নিরাপদভাবে জেনারেট করা হয়েছিল। যদি আপনার সিড প্রভাবিত ফার্মওয়্যারে তৈরি হয়ে থাকে, শান্ত থাকুন, সবকিছু সতর্কতার সাথে যাচাই করুন এবং যত দ্রুত সম্ভব নতুন, নিরাপদ সিডে মাইগ্রেট করুন।