Inirerekomenda ang mga gumagamit ng Coldcard na agad na i-migrate ang kanilang seed phrase pagkatapos ayawin ng mga attacker ang isang inaasahang halagang $88.6M Noong Agosto 1, isang mataas na babala ay nadating sa mga gumagamit ng Coldcard hardware wallet, kung saan ang on-chain na pag-aaral ay nagtulak sa maraming serye ng pagkakawala sa mga seed phrase na nilikha ng vulnerable na firmware ng Coldcard. Ang Dogecoin contributor na si Mishaboar ay nag-utos sa lahat ng naggamit ng Coldcard device na “i-migrate agad ang inyong pera sa isang bagong wallet,” at huwag gamitin muli ang lumang seed o ipasok ang mga recovery words sa isang computer na konektado sa internet. Ano ang natuklasan ng mga mananaliksik: - Ang pinakabagong on-chain na pagsusuri ng Galaxy Research ay nakatukoy sa tatlong inaasahang serye ng pag-atake na kung saan ay inilipat ang 1,367.05 BTC (halos $88.6 milyon) mula sa 4,585 mga address. Ang bilang na ito ay isang obserbado na estimate, hindi pa binigyang-kumpirma ng Coinkite, mga awtoridad, o bawat naapektuhan na user. - Ang pinakamalaking serye ay inalis ang 1,082.65 BTC mula sa 1,196 mga address sa loob ng halos 41 minuto noong Hulyo 30. Isang susunod na serye ay inalis ang halos 208 BTC mula sa 1,912 mga address, kung saan bumaba ang average na balanse bawat address sa halos 0.1 BTC — na nagmumungkahi na ang mga attacker ay nagpalit ng kanilang focus mula sa mas malalaking halaga patungo sa maraming mas maliit na wallet. - Sinabi ng Galaxy na bawat serye ay may lohikal na pagkakatulad sa isang mag-iisang operator, ngunit hindi makapagpatunay na lahat ng serye ay pinamamahalaan ng iisang aktor. Ang ikatlong serye ay gumamit ng iba’t ibang teknik ng pagkolekta (mga hiwalay na destination address, pag-batch ng maraming biktima sa isang transaksyon, at pag-check lamang sa default derivation path). - Binigyan din ng babala ng Galaxy ang kanilang kilalang pattern ay hindi makakadetekta ng lahat ng pagkakawala — maaaring gumawa ang iba pang mga attacker ng wastong transaksyon nang hindi paulit-ulit ang obserbado na bayad, format ng destination, o paraan ng pagkolekta. Anong mga modelo at firmware ng Coldcard ang naapektuhan: - Ang paalala ni Coinkite ay pinipigil ang isyu sa mga seed na nilikha sa: - Mga device na Mk2 at Mk3 na may firmware v4.0.1 hanggang v4.1.9 - Mga device na Mk4 at Mk5 na may firmware bago ang standard v5.6.0 o Edge v6.6.0X - Coldcard Q: nailabas sa standard v1.5.0Q at Edge v6.6.0QX - Ang mga device na Mk1 ay nasa labas ng nakikilalang firmware regression. Ang TAPSIGNER, OPENDIME at SATSCARD ay hindi naapektuhan dahil gumagamit sila ng iba’t ibang codebase. - Sinasabi ni Coinkite na patuloy pa ang kanilang imbestigasyon at magpapalabas sila ng opisyal na teknikal na ulat. Teknikal na sanhi: - Ang Bitcoin engineering at security team ni Block ay tinukoy ang kamalian sa firmware integration: habang ginagawa ang seed, ang mga affected builds ay gumamit ng deterministic MicroPython fallback替代 ang STM32 hardware random-number generator. Sa Mk2 at Mk3 v4 firmware, ang fallback na ito ay nagdagdag ng halos walang cryptographic entropy. Ang mga mas bagong modelo ay nakatanggap ng limitadong secure-element reseed, ngunit nanatiling mahina ang mga lumang seed. - Binigyang-diin ni Block na ito ang kanilang kasalukuyang teknikal na pananaw at hindi pa sila sinubukan nang empirikal ang bawat device. Ano ang dapat gawin ng mga user ngayon: - Huwag gamitin muli ang inyong lumang Coldcard seed. Lumikha ng isang buong bagong seed sa isang pinagbagoan o iba’t ibang wallet. - I-install ang pinagbagoan firmware ni Coinkite para sa inyong modelo bago lumikha ng anumang replacement seed. - I-record at i-verify ang bagong backup, i-check ang receiving address sa screen ng device, at magpadala muna ng maliit na test transaction. Tanging pagkatapos kong kumpirmahin na dumating ang test funds, i-transfer lamang ang natitirang balanse. - Panatilihin ang inyong lumang backup hanggang kumpirmahin ang buong migration. - Huwag kailanman ipasok ang seed phrase sa isang computer na konektado sa internet; iimbak ang offline copies sa hiwalay at ligtas na lokasyon upang mabawasan ang eksposur sa phishing, malware, at mga pagkakamali sa cloud sync. - I-ulit ni Mishaboar na ang pagdaragdag ng karagdagang BIP-39 passphrase (25th/13th word sa Coldcard) at malakas na passphrases ay nakakatulong, ngunit babalaan ni Coinkite na hindi nagpapabuti ang passphrase sa isang naka-compromise nang seed. Ang maikli o muli-gamit na passphrases ay nananatiling vulnerable. Limitadong exception at caveat: - Sinabi ni Coinkite na ang mga user na nagdagdag ng kahit anong 50 fair, independent at private dice rolls bago makalikha ng huling seed words (nagkontribyu ng ≥128 bits ng independent entropy) ay maaaring ligtas. Ang sinuman na nag-enter ng mas kaunti kaysa 50 rolls, hindi maalala ang bilang, o inilabas ang roll sequence ay dapat mag-migrate. - Ang mga patch ay nagpapabuti sa hinaharap na paglikha ng seed pero hindi makapagdagdag ng entropy nang retroactively sa mga seed na nai-create nang nasa harap. Ang paglipat ng insecure seed sa iba’t ibang wallet ay nananatiling may kahinaan. Mga komento at mas malawak na epekto: - Ang Bitcoin investor na si Anthony Pompliano ay tiningnan ang insidente bilang patotoo kung gaano kalaking hamon ang secure self-custody — nakapag-reproduce ang mga attacker ang private keys, subalit hindi nakasira ang Bitcoin protocol mismo. - Ang mga pagkawala ay nagbigay-daan din sa usapin tungkol sa institutional custody at spot-Bitcoin ETFs bilang alternatibo para sa mga investor na prefer hindi pamahalaan ang private keys. Ano ang susunod: - Naglabas na si Coinkite ng firmware fixes para sa mga affected models at patuloy pa rin ang kanilang imbestigasyon. Maaaring i-update ni Galaxy at iba pang mananaliksik ang address analysis habang natutuklasan nila ang higit pang biktima. - Hanggang makumpleto ang imbestigasyon, mananatiling isang on-chain estimate lamang ang $88.6 milyon na numero at hindi pa opisyal na kabuuhan. Kung mayroon kang anumang Coldcard device, tingnan ang opisyal na paalala ni Coinkite para sa inyong modelo at i-update agad ang firmware bago lumikha ng bagong seed.
Bug sa Firmware ng Coldcard na Ugnay sa Pagkakawala ng BTC na $88.6M — Inirerekomenda ang Paglipat ng Mga Seed
ChainGPTI-share
Summary
Ang isang bug sa firmware ng Coldcard ay nalalayon sa isang pagkakakulong ng BTC na halagang $88.6M, na may on-chain data na nagpapakita ng 1,367.05 BTC na tinanggal mula sa 4,585 mga address. Ang kakulangan, na nauugnay sa deterministic RNG fallback, ay nakaimpluwensya sa mga modelo ng Coldcard Mk2 hanggang Mk5 na may ilang bersyon ng firmware. Ang Coinkite ay naglabas ng mga patch at inanyayahan ang mga gumagamit na lumikha ng mga bagong seed at iwasan ang paggamit muli ng mga lumang seed. Ang mga mananaliksik ay nagbabala na ang mga napapahamak na seed ay hindi maaaring iayos, at dapat mag-migrate ang mga gumagamit ng kanilang pera at i-store ang mga backup nang offline. Habang nasa ilalim ng presyur ang presyo ng BTC, ang mga altcoin na dapat subaybayan ay maaaring makaranas ng pagbabago habang binabale-wala ng mga trader ang panganib.
Source:Ipakita ang original
Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito.
Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.