Bug sa Coldcard Firmware ay Nagbawas ng 1,816 BTC mula sa 5,200+ na Address

Isang bug sa firmware ang nagging sanhi ng maaaring mahulaan ang mga seed na ginawa ng Coldcard, at sinakop ng mga attacker ang halos 1,816 BTC mula sa higit sa 5,200 na address sa pamamagitan ng apat na pinagsasamang alon. Sinabi ni Jonathan Goodman na nilinis ng mga attacker ang lahat ng kanyang wallet sa loob ng pitong minuto noong Hulyo 29, kabilang ang 18.25 BTC na naka-imbak sa isang Coldcard na hindi nagkakaroon ng koneksyon sa internet. Nagmamadali ang mga user na maapekto upang ilipat ang kanilang mga coin dahil pinapayagan ng kamalian na muling lumikha ng mga pribadong key. Sinabi ni Tim Lamb na nasakop ang kanyang 2 BTC bago siya makapag-restore ng kanyang wallet gamit ang tulong mula sa isang kapitbahay. Ipinakalabas ni Coinkite ang pinagbagoang firmware para sa lahat ng modelo, hininto ang pagpapadala, at sinira ang natirang inventory na may nakakaapektong firmware.

Bakit ito mahalaga: Ang paglabas ng seguridad ay maaaring magdulot ng pagbaba sa tiwala sa mga tool ng self-custody dahil ang pagkabigo sa pagbuo ng seed ay maaaring baguhin ang offline na pag-iimbak bilang direkta na pagpapakita ng key.

Bearish, Stress-on, Tech-driven, De-risking.

Dahil sa bug sa firmware ng Coldcard, ang mga nabuong seed ay maaaring mahulaan, kaya maaaring bawasan ng mga investor ang kanilang tiwala sa mga nakakaapektong sariling pag-aalagaan.

Noong Hunyo 2023, nawala ang higit sa $35 milyon sa mga gumagamit ng Atomic Wallet pagkatapos ng hindi pinahihintulutang pagtarik, at sinabi ng Atomic na mas mababa sa 1% ng mga aktibong gumagamit buwan-buwan ang naapektuhan. Ang insidente ay nagpabilis sa mga gumagamit upang gawin ang mga pagsasagawa ng pag-transfer at pagsubaybay habang ang sanhi ay nananatiling hindi malinaw. (Fortune) Ang pangunahing pagkakaiba ay ang Atomic Wallet ay isang insidente ng hot wallet, habang ang kaso ng Coldcard ay may kakaibang pagbuo ng seed sa hardware wallet.

Ang isang kakulangan sa pagbuo ng seed ay maaaring magpalaganap mula sa mga pagkawala ng indibidwal na wallet patungo sa mas malawak na kawalan ng tiwala sa sariling pag-aalaga sa pamamagitan ng pagkakaroon ng kahilingan na baguhin ang susi at migrasyon ng wallet. Kung ang mga nailalabas na seed ay patuloy na may pera, maaaring patuloy ng mga hacker ang pagbubuway sa mga wallet bago matapos ng mga user ang mga hakbang sa pagbabawi. Kung hindi kayang patunayan ng mga user kung ang isang seed ay apektado, maaaring tumaas ang pagiging konservatibo sa pag-aalaga sa loob ng mga user ng hardware wallet.

Mga pagkakataon: Kung ang mga gumagamit ay patotohanan ang fixed firmware at ililipat ang mga pondo sa mga bagong nilikhang walang epekto na mga susi, ang pag-rotate ay maging isang signal para sa pagbabawas ng panganib para sa mga eksposadong wallet.

Mga panganib: Kung ang mga apektadong seeds ay nananatiling pinagkukunan, ang pagbawas sa eksposur sa mga wallet na iyon ay limitado ang pagbaba mula sa karagdagang pinagsanay na pag-sweep.