Kamalian sa Coldcard Firmware ay Nagbawas ng Higit sa $70M sa Bitcoin

Nawalan ng higit sa $70 milyon sa Bitcoin (BTC) ang mga gumagamit ng hardware wallet pagkatapos ipagamit ng mga attacker ang isang kamalian sa firmware ng Coldcard na nagbigay-daan sa pag-alis ng pera nang malayo. Sinabi ng CoinKite na ang ilang apektadong device ay naglikha ng recovery seeds gamit ang software-based randomness替代 ang built-in hardware random-number generator. Ang problema ay nagsimula sa firmware na inilabas noong Marso 2021, at ang mas bagong firmware ay naglulutas ng bug ngunit hindi nagpapalakas ng recovery seeds na ginawa sa apektadong device. I-trace ng Galaxy Research ang 1,082.65 BTC na inalis mula sa 1,196 na address sa loob ng halos 41 minuto. Sinabi ni Changpeng Zhao na ang hardware wallet ay maaaring magkaroon ng mga bug at inirerekumenda ang paghahati ng pera sa iba’t ibang wallet habang tinitiyak na may iba’t ibang panganib ang pagkakagawa nito.

Bakit ito mahalaga: Ang isang kamalian sa pagbuo ng seed ay maaaring magdulot ng pagbaba ng tiwala sa self-custody kapag hindi kayang ayusin ng mga gumagamit ang mga lumang recovery seed sa pamamagitan ng firmware update lamang.

Bears, Stress-on, Event-driven, Takot.

Dahilan: Higit sa $70 milyon sa bitcoin ang tinanggal sa pamamagitan ng isang kamalian sa firmware ng Coldcard, na nagdudulot ng direkta na presyur sa seguridad para sa mga gumagamit ng sariling pag-aalaga.

Sa 2023 Atomic Wallet hack, nawala ang higit sa $35 milyon sa mga user matapos ma-drain ang maraming wallet sa iba’t ibang asset. (Fortune) Ang pangunahing pagkakaiba ay ang Coldcard incident ay nakatuon sa firmware-generated recovery seeds, habang ang kaso ng Atomic Wallet ay may kinalaman sa pag-compromise ng software wallet.

Ang unang channel ay ang tiwala sa sariling pag-aalaga, dahil ang isang kakulangan sa pagbuo ng seed ay maaaring gawing mas maliit ang pagkakaihiwalay ng offline na pag-iimbak mula sa panganib ng software. Kung mas maraming wallet sweeps ang lumabas pagkatapos ng emergency patches, maaaring mag-shift ang pag-aalala mula sa isang firmware bug patungo sa mas malawak na pagbabago sa pagpapalit ng recovery-seed. Ang pangalawang channel ay ang pag-aalaga ng pag-uugali, dahil maaaring muling suriin ng mga user kung ang pag-iimbak sa isang device lamang ay bumubuo ng concentrated operational risk.

Mga pagkakataon: Kung ang mga update mula sa Coinkite ay nagpapakita na ang mga bagong pagbubukas ay nakapag-iiwas, ang pagpapanatili ng tiwala sa self-custody ay maaaring maging potensyal na signal ng pagpasok para sa mga gumagamit na nagmumonitor sa eksposur ng wallet-infrastructure.

Mga Panganib: Kung ang mga lumang recovery seed ay patuloy na ginagamit o lumalabas ang karagdagang sweeps, ang pagbabawas sa pagkakasalalay sa isang solong wallet setup ay naglilimita sa pagbaba mula sa iba pang pagbubuwis.