Ang attacker ay nagbawas ng $116M sa bitcoin mula sa mga address ng Coldcard

Lumipat ang isang attacker ng halos 1,816 bitcoin, humigit-kumulang $116 milyon, mula sa higit sa 5,200 na address na ginawa sa mga device na Coldcard mula noong Hulyo 30. Ibinilang ng Galaxy Research ang pinakamalaking pagkuha ng 1,082 bitcoin mula sa 1,196 na wallet sa loob ng 41 minuto. Ang Coldcard firmware version 4.0.0, na ipinadala noong Marso 2021, ay may isang build setting na nag-uutos sa device na iwasan ang kanyang dedikadong hardware randomness chip. Pinayuhan ni Rodolfo Novak, pangulo at CEO ng Coinkite, ang mga gumamit ng Coldcard wallet na ilipat ang kanilang pera gamit ang updated na pinakamahusay na pamamaraan. Ang mga may-ari na nag-generate ng seeds gamit ang kahit anong 50 private dice rolls, o gumamit ng malakas na passphrase, ay hindi naapektuhan.

Bakit ito mahalaga: Ang pagkabigo sa entropy ng wallet ay maaaring baguhin ang offline self-custody sa nakatagong pagpapakita ng key at maaaring magpahina sa tiwala sa seguridad ng hardware wallet.

Mabagal na Bumababa, May Stress, Teknolohiya-ang-damda, Pagpapalitan ng Panganib.

Dahil: Ang inihayag na pagbawas mula sa mga address na ginawa ng Coldcard ay maaaring magdulot ng pagbawas sa tiwala sa seguridad ng self-custody hardware.

Nilutas ng Trust Wallet ang isang vulnerability sa WebAssembly sa kanilang browser extension pagkatapos ay magdulot ito ng pagkawala ng $170,000 mula sa mga user, ayon sa The Block. Ipinakita ng kaso kung paano ang mahinang seed generation ay maaaring mag-iwan ng mga wallet na eksposed kahit walang phishing o pagkawala ng device. (The Block) Ang pangunahing pagkakaiba ay ang kasong Trust Wallet ay naglalaman ng browser extension software, habang ang kasalukuyang pangyayari ay naglalaman ng seed generation ng Coldcard hardware wallet.

Ang mga pagdududa sa Entropy ay maaaring magpalayo sa mga user mula sa single-device custody at magdirekta sa mga sistema na may higit na operational controls. Maaaring tumaas ang demand sa custody kung ang mga malalaking holder ay magpasya na ang hardware isolation ay hindi sapat para kontrolin ang hidden implementation risk. Kung magpapakita ang Coinkite ng kanilang teknikal na pagsusuri at gabay sa migration, ang pagkakaroon ng kontrolo ay maaaring nakasalalay kung ang mga user ay mabilis na mag-rotate ng vulnerable seeds.

Mga pagkakataon: Kapag nagpapalabas ang Coinkite ng teknikal na pagsusuri, maaaring maging malinaw na hangganan ng pagkakamali ang isang potensyal na signal para sa pagpapabuti ng tiwala para sa mga gumagamit ng hardware wallet. Kung ang gabay sa paglipat ay patotoo’y maliit, maaaring makakuha ng tiwala ng mga gumagamit ang mga provider ng self-custody na may mas malakas na mga kontrol sa entropy.

Mga Panganib: Kung ang karagdagang mga alon ay bubuksan ang mga address na ginawa ng Coldcard, ang pagbawas sa eksposur sa isang device lamang ay maaaring limitahan ang operasyonal na panganib. Kung ipakikita ng teknikal na pagsusuri ang mas malawak na eksposur sa pagbuo ng seed, maaari pang manatiling mataas ang panganib sa pag-aalaga sa mga naapektuhan.