Ang Coldcard Hack ay Nagbawas ng $89M sa BTC Dahil sa Vulnerability sa Firmware

Ang pag-hack sa Coldcard ay nagpalabas ng isang mahalagang kahinaan sa isa sa mga pinakatitiwalaang hardware wallet ng Bitcoin. Sa loob ng tatlong alon ng pag-atake, ang mga attacker ay nagamit ang mahinang pagbuo ng seed sa mga naapektuhandong firmware at tinanggal ang halos 1,367 BTC, na may halagang humigit-kumulang $89 milyon, mula sa libu-libong address.

Sa pagkakaiba sa isang karaniwang phishing scam o paglabas ng exchange, ang pag-atake na ito ay tumarget sa loobang proseso ng pag-generate ng key ng wallet. Partikular, isang bug sa firmware na limang taon na ang nakalipas ay nagproduksi ng mga seed na may sapat na randomness, na nagpapahintulot sa mga attacker na muling bumuo ang private keys nang offline at kunin ang pera ng mga user. Kaya, ang artikulong ito ay nagpapaliwanag kung paano gumana ang vulnerability, aling mga modelo ng Coldcard ang nasa panganib, at ano ang dapat gawin ng mga naapektuadong user susunod.

Noong Hulyo 30, 2026, nagsimula ang paghakot sa Coldcard nang magsimula ang isang hindi kilalang attacker na mag-drain ng bitcoin mula sa mga hardware wallet ng Coldcard. Sa unang alon, nawala ang 594 BTC, na may halagang humigit-kumulang $38 milyon, mula sa halos 500 na wallet sa loob ng 25 minuto lamang. Tinarget ng attacker ang mga wallet na may pinakamataas na halaga muna. Ang ikalawang alon ay nagdulot ng pagbaba ng mga pagkawala sa 1,082 BTC, na may halagang humigit-kumulang $70 milyon, sa 1,196 na address sa loob ng 41 minuto. Sa Agosto 2, tatlong alon ng paghakot ang nag-drain ng kabuuang 1,367 BTC, na may halagang humigit-kumulang $89 milyon, mula sa 4,585 na address.

Hindi pinili ng attacker ang mga wallet nang random. Ayon sa Chainalysis, pinrioritize ng operator ang pinakamayaman mga target at kinolekta ang higit sa $30 milyon sa unang 10 minuto. Isang wallet lamang ang nawalan ng halos $1.8 milyon. Ang pattern na ito ay nagpapakita na mayroon nang nakikilala ang attacker sa mga mayamang address at isinagawa ang pagkakawala sa isang malinaw na pagkakasunod-sunod.

Samantala, patuloy ang mas malawak na paggalaw sa loob ng halos 30 oras bago ipubliko ni Coinkite ang kanyang unang pampublikong babala. Ipinakilala ng Galaxy Research ang higit sa 600 na posibleng address ng attacker at ipinaghanda ito sa mga imbestigador. Natuklasan rin ng pananaliksik na kumpanya ang magkakaparehong mga operasyonal na pattern sa unang dalawang alon, habang ginamit ng ikatlong alon ang iba’t ibang paraan ng pagkolekta.

Ang pinakamahalaga, ang pag-hack sa Coldcard ay hindi isang phishing attack, hindi rin isang pagbubusog sa exchange, o kaso ng pagkakawala ng private keys ng mga user nang pisikal. Hindi kailangan ng attacker ang direkta access sa mga apektadong Coldcard device. Sa halip, ang mga wallet ay nag-generate ng mahina seeds kapag ini-initialize ng mga user, na nagbigay-daan sa attacker na muling bumuo ng mga private keys nang offline.

Ang pagkakaiba na ito ang naggagawang sobrang serio ang insidente. Binebili ng mga user ang mga device na Coldcard upang i-isolate ang kanilang mga Bitcoin key mula sa mga banta sa online. Gayunpaman, ang hardware ay nag-generate ng mga key na may sapat na randomness. Sa ibang salita, ang produkto na disenyo upang protektahan ang mga user ay naglikha ng vulnerability mismo. Ang pagkabigo sa seguridad ay umiral mula sa sandaling nag-generate ang mga apektadong wallet ng kanilang mga seed.

Isipin ang pagbili ng isang mataas na seguridad na kandado na nagpapangako na gagawa ng bawat kombinasyon gamit ang isang totoong pisikal na randomizer. Sa halip, ang manufacturer ay nag-install ng isang makabuluhang pormula na nagpapagawa ng mga kombinasyon mula sa isang limitadong set ng mga input. Kapag natuklasan ng isang tao ang pormulang iyon, maaari niyang subukan ang bawat posibleng kombinasyon hanggang makahanap ng iyong sarili. Ito ang pangunahing paraan kung paano naging posible ang Coldcard hack.

Noong Marso 1, 2021, nagbago ang isang tanging code commit ang punsiyon na responsable sa pagbuo ng mga wallet seed. Nang una, ckcc.rng_bytes ay nagsasalin ng totoong randomness mula sa hardware random-number generator na nakabuilt sa STM32 chip ng device. Gayunpaman, inilipat ng mga developer ito sa ngu.random.bytes, isang software-based pseudo-random number generator na nakabatay sa deterministic inputs.

Lalo na, ang software na PRNG ay gumamit ng serial number ng device, mga halaga ng internal timer, at kasaysayan ng mga nakaraang pagtawag sa RNG. Ginawa ng firmware ang mga input na ito gamit ang cryptographic hashing na SHA256d. Bagaman ang hashing ay maaaring magkagulo ng umiiral na data, hindi ito makakalikha ng bagong randomness. Kaya, kung ang sistema ay nagsisimula lamang sa 2^40 posibleng input, maaari pa ring magbigay lamang ito ng 2^40 posibleng output.

Bilang resulta, ang mga nasasakop na mga device na Mk3 ay nag-generate ng mga seed na may halos 40 bits ng entropy. Samantala, ang mga device na Mk4, Mk5, at Q ay nakatanggap ng karagdagang input mula sa secure element, na itinataas ang kanilang epektibong entropy sa halos 72 bits. Gayunpaman, parehong mga numero ay nanatiling mas mababa sa 128-bit na antas ng seguridad na inaasahan mula sa Bitcoin seed generation.

Sinabi ni Zach Herbert, CEO ng Foundation Devices, na pumasok ang bug noong malaking pag-rewrite ng firmware noong Marso 2021 na nagpalit ng natitirang GPL code sa mga bagong kriptograpikong library. Sa ibang salita, ang pagbabago ay bahagi ng isang pag-overhaul ng lisensya kaysa isang partikular na desisyon sa seguridad.

Gayunpaman, nanatiling aktibo ang may kamalian sa code sa loob ng limang taon. Ginawa ng Coinkite ang isang AI-assisted na firmware audit ilang linggo bago ang pag-atake, ngunit hindi nakakita ang pagsusuri sa problema. Dagdag pa rito, maraming firmware updates, kabilang ang mga release na nakatuon sa seguridad, ay hindi rin nakakita nito.

Sa wakas, dapat gamitin ng wallet isang pisikal na pinagmulan ng randomness upang lumikha ng hindi maipagpalagay na mga susi. Sa halip, ginamit nito isang limitado at maipagpalagay na pormula. Pagkatapos maintindihan ng attacker ang pormulang iyon, maaari niyang magsimula na muli itong gawin ang mga seed ng mga user at isagawa ang Coldcard hack.

Hindi kailangan ng attacker sa Coldcard hack na manakwil ng device o kumonekta dito nang malayo. Sa halip, maaaring i-estimate ng attacker ang mga mahahalagang variable tulad ng device UID, timer state, at sequence ng mga nakaraang RNG calls. Sa pamamagitan ng mga limitasyong ito, maaaring muling iprodyus ng attacker ang mga posibleng seed output streams nang buong offline.

Pagkatapos, binago ng attacker ang bawat candidate seed sa mga Bitcoin address at isinama ito sa public blockchain data. Ang prosesong ito ay katulad ng pagsubok ng mga kombinasyon sa isang lock. Mayroong halos 40 bits ng entropy, ang mga naapektuhang seed ay galing sa isang pool ng halos isang trilyon na posibilidad. Bagaman tila malaki ang bilang na ito, ang modernong computing hardware ay maaaring maghanap sa ganitong espasyo sa loob ng praktikal na panahon, lalo na kung pinapaliit ng attacker ang target set.

Likely ay pinuntahan ng attacker ang mga address na kaugnay ng Coldcard seeds na nilikha sa panahong vulnerable mula 2021 hanggang 2026. Mula doon, nilikha ng attacker ang mga candidate seeds, dinereba ang kanilang kaugnay na mga address, at hinanap ang mga tugma sa blockchain. Kapag nagproduksiyon ang isang candidate seed ng isang address na may Bitcoin, kinontrol ng attacker ang kaugnay na private key at sinweep ang pera. Kaya, ang prosesong ito ay bumubuo ng pangunahing bahagi ng Coldcard hack.

Samantala, natuklasan ng Galaxy Research na maaaring magkaroon ng parehong operator ang Waves 1 at 2. Gayunpaman, ipinakita ng Wave 3 iba’t ibang on-chain na pag-uugali. Bilang resulta, maaaring hiwalay na natuklasan at na-exploit ng ibang attacker ang vulnerability.

Ang mga device na Mk4, Mk5, at Q ay may mas malakas na entropy na halos 72 bits. Gayunpaman, nanatili pa rin sila sa ilalim ng inaasahang 128-bit na pamantayan. Ipinakita ni Block ang disenyo bilang isang “mapanganib na fail-open structure” dahil ang ilang boot conditions ay maaaring magbawas sa paghahanap sa tanging 2^32 posibleng halaga. Hanggang ngayon, hindi pa nag-exploit ang mga attacker sa kahinaang ito sa malawakang iskala. Kahit paano, ang natitirang istruktura ay nagpapakita na ang mga apektadong device ay hindi nakapagbigay ng antas ng randomness na inaasahan ng mga user mula sa isang hardware wallet.

Ang pag-hack sa Coldcard ay nakakaapekto sa bawat modelo nang iba’t iba batay sa anong bersyon ng firmware ang nag-generate ng wallet seed. Ang mga device na Mk2 at Mk3 ay nasa pinakamataas na panganib dahil ang apektadong firmware ay nag-produce ng seeds na may lamang halos 40 bits ng entropy. Samantala, ang mga device na Mk4, Mk5, at Q ay nakatanggap ng karagdagang entropy mula sa secure element, na itinataas ang kanilang epektibong seguridad sa halos 72 bits. Gayunpaman, ang antas na ito ay nanatiling mas mababa sa 128-bit na pamantayan na inaasahan para sa Bitcoin seed generation.

Mahalaga, ang bersyon ng firmware na nakainstal nang lumikha ang device ng seed ang nagdedetermine kung may eksposur ang user sa Coldcard hack. Ang kasalukuyang bersyon ng firmware ay hindi nagbabago sa seguridad ng umiiral na seed. Halimbawa, ang isang user na nag-generate ng seed sa vulnerable na firmware at sumulat ng pag-update ng device ay nananatiling may mahinang seed. Ang kahinaan ay nasa loob ng numero na ginawa na ng device. Kaya, ang pag-update ng firmware ay protektado lamang ang hinaharap na pag-generate ng seed. Hindi ito makakapag-repair ng mga lumang seed o gawing ligtas ang kanilang kaugnay na address.

Gayunpaman, ang mga gumagamit na nag-input ng kahit anong 50 na independiyenteng at pribadong hulma ng daga habang nagtatayo ng seed, ay nagdagdag ng isang panlabas na pinagmulan ng tunay na entropy. Ang karagdagang kaguluhan na ito ang nagpapalabas sa kahinaan sa software RNG ng device. Bilang resulta, ang mga gumagamit na ito ay nakakaranas ng minimal na panganib mula sa partikular na vulnerability na ito. Ang isang malakas na BIP-39 passphrase ay nagiging mas mahirap ang mga brute-force attacks, ngunit hindi ito pinapalakas o pinapagaling ang pundamental na seed. Kaya, patuloy pa ring inirerekomenda ni Coinkite ang paglipat ng mga pondo na ginawa mula sa apektadong firmware.

Sa huli, ang pag-hack sa Coldcard ay hindi nakakaapekto sa lahat ng hardware wallet. Ang Trezor, Ledger, at Block, na gumagawa ng Bitkey, ay nag-verify na ang kanilang mga produkto ay gumagamit ng iba’t ibang mga sistema ng entropy-generation. Kaya, ang partikular na pagkabigo sa firmware ay hindi nakakaapekto sa mga seed na nilikha ng mga device na ito.

Pagkatapos ng pag-hack sa Coldcard, nag-publish ang Coinkite ng kanyang unang security advisory noong July 30 at July 31, humigit-kumulang 30 oras pagkatapos magsimula ang unang pag-sweep. Pagkatapos ay inilabas ng kumpanya ang patched firmware para sa bawat apektadong modelo, kabilang ang v4.2.0 para sa Mk3, v5.6.0 para sa Mk4 at Mk5, at v1.5.0Q para sa Q. Bukod dito, Coinkite nag-publish ng teknikal na pagsusuri ng vulnerability at nagbigay ng migration guide upang tulungan ang mga user na ilipat ang kanilang pera mula sa mga mahina seed.

Dagdag pa, isinagawa ng Coinkite ang pag-update ng paalala nito noong Agosto 1 upang kilalanin na ang mga device na Mk4, Mk5, at Q ay nakaranas din ng nabawas na entropy. Bagaman ang mga attacker ay pangunahing tumarget sa mga seed ng Mk2 at Mk3 habang ang Coldcard hack, ang mga mas bagong modelo ay nanatiling mas mababa sa inaasahang 128-bit na antas ng seguridad. Sa pamamagitan ng pagpapahayag ng mas malawak na sakop at paglabas ng mga solusyon sa lahat ng apektadong linya ng produkto, binigyan ng mas malinaw na landas ang mga user para sekurahin ang kanilang bitcoin.

Gayunpaman, ang tugon ay nagdulot din ng legitimo na kritika. Ang bug ay nanatili sa production sa loob ng limang taon kahit na may mga panloob na pagsusuri, mga pag-update ng firmware na nakatuon sa seguridad, at isang audit na may tulong ng AI na ginawa kaagad bago ang pag-atake. Mas mahalaga pa, ang pag-sweep ay nagpatuloy sa loob ng halos 30 oras bago ipahayag ni Coinkite ang kanyang unang pampublikong babala. Bilang resulta, walang opisyal na impormasyon ang mga nasasakop na user na maaaring tumulong sa kanila na i-migrate ang kanilang Bitcoin bago makarating ang attacker sa kanilang wallet.

Samantay, ang mga kalagayan na kasama ang orihinal na pagbabago sa code ay nagdulot ng karagdagang mga tanong. Ang CEO ng Foundation Devices, Zach Herbert, ay nagsasabing ang bug ay pumasok habang isinagawa ang pagpapalit ng lisensya kaysa sa isang pagrere-design na nakatuon sa seguridad. Kaya, ang insidente ay nagdulot ng pagsusuri kung paano pinamahalaan ni Coinkite ang mga panganib sa seguridad noong pagrere-write noong 2021. Tulad nito, ang security researcher na si Kevin Loaec mula sa Wizardsardine ay nagsasabing dapat isipin ng mga user ang multisig setups na naglalaman ng mga affected na Coldcard keys na inilabas, isang isyu na hindi buong tinutugon ng abiso ni Coinkite.

Sa huli, inilabas ni Coinkite ang mga working patches, teknikal na detalye, at mga instruksyon para sa migration pagkatapos maging public ang Coldcard hack. Gayunpaman, hindi nalilipas ng mga aksyong ito ang limang taong pagkakamali sa pagdetekta o ang nagkakalat na babala na nagbawal sa ilang gumagamit na protektahan ang kanilang mga pera nang maayos.

Ang pag-update ng iyong Coldcard firmware ay hindi sapat upang maprotektahan ang isang umiiral na wallet. Ang vulnerable na firmware ay naghain na ng mahina seed, at ang kahinaan na ito ay nananatiling nakapaloob sa seed mismo. Kaya, kailangan ng mga napepektong gumagamit na lumikha ng bagong seed at mag-transfer ng kanilang Bitcoin sa mga address na nagmumula dito. Ang abiso ng Coinkite at ang gabay ni Shinobi sa Bitcoin Magazine ay nagrekomenda ng sumusunod na proseso ng migrasyon.

1. I-update ang iyong Coldcard firmware. I-install ang pinakabagong patched firmware na available para sa iyong partikular na Coldcard model at release track. Tiyakin na i-download mo ang firmware mula sa opisyal na website ng Coinkite bago i-install ito.
2. Lumikha ng isang bagong seed. Lumikha ng seed sa updated na device, hindi sa pag-import o pag-restored ng lumang seed. Para sa karagdagang entropy, isaisip ang paggamit ng kahit anong 50 na independiyenteng at pribadong pag-rol ng dice habang nag-generate ng seed.
3. I-verify ang bagong seed backup. Isulat ang mga bagong seed words sa tamang pagkakasunod-sunod at tapusin ang proseso ng pag-verify sa device. Pagkatapos, lumikha ng receive address at i-confirm na ang address na ipinapakita sa iyong wallet software ay tumutugma sa address na ipinapakita sa screen ng Coldcard.
4. I-transfer lahat ng bitcoin sa bagong wallet. I-send ang lahat ng BTC balance na kinokontrol ng lumang seed sa mga address na nagmumula sa bagong ginawang seed. Mabuting i-verify ang destinasyon at detalye ng transaksyon sa Coldcard bago mag-sign.
5. Kumpirmahin ang migrasyon. Gamitin ang isang kapanatikan na Bitcoin block explorer upang patunayan na kumpirmado ang mga transaksyon. Pagkatapos, suriin kung walang natitirang bitcoin sa mga lumang address at kung ang bagong wallet ay nagpapakita ng buong napapalitan na balanse.
6. Lisin ang lumang seed backup nang ligtas. Huwag linisin ang lumang backup hanggang sa matiyak na natapos lahat ng pag-transfer at napatunayan mo ang pag-access sa bagong wallet. Alisin ang lahat ng pisikal at digital na kopya ng compromised seed upang hindi ito maaaring gamitin muli.

Huwag i-update ang firmware at ipalagay na naging ligtas na ang umiiral na wallet. Ang update ay nagpapabuti sa pagbuo ng susunod na seed, ngunit hindi ito makakapagpalakas ng seed na nilikha ng device sa nakaraan. Bukod dito, bawat migration ay nangangailangan ng isang on-chain Bitcoin transaction, kaya dapat isama ng mga user ang network fees at iwasan ang pagpili ng sobrang mababang fee sa panahon ng urgente na pag-transfer.

Ang mga gumagamit ng multisig ay nakakaranas ng karagdagang komplikasyon. Dapat i-rotate ang bawat key na galing sa affected Coldcard seed. Dapat suriin ng mga gumagamit ang signing threshold ng wallet, palitan ang bawat vulnerable key, at i-verify ang bago mong multisig configuration bago ilipat ang malalaking pera.

Ang self-custody ay nakadepende sa dalawang hiwalay na pangangailangan sa seguridad. Una, kailangan ng mga gumagamit na kontrolin ang kanilang mga private key. Pangalawa, kailangan ng mga wallet na lumikha ng mga key na iyon gamit ang totoong, mataas na kalidad na randomness. Ang mga kumpanya ng hardware wallet ay karaniwang nagbibigay-diin sa unang pangangailangan dahil ito ay sumusuporta sa pamilyar na prinsipyo ng “hindi mo ang keys, hindi mo ang coins.” Gayunpaman, mas kaunti ang pag-uusap tungkol sa ikalawang pangangailangan. Tulad ng ipinapakita ng Coldcard exploit, maaaring kontrolin nang buo ng mga gumagamit ang kanilang mga key at parin manloko ang kanilang pera kung ang device ay naglikha ng mga key mula sa mga makikita na input.

Dagdag pa rito, ang insidente na ito ay ang ikatlong malaking pagkabigo ng pseudo-random number generator sa crypto sa mga nakaraang taon, kasunod ng Milk Sad noong 2023 at Ill Bloom noong 2026. Sa bawat kaso, ang pagkabigo ay nangyari sa panahon ng key generation, isang proseso na hindi kayang i-verify ng mga karaniwang gumagamit. Maaaring ipakita ng isang wallet interface ang isang wastong seed phrase at magbigay ng mga gumagana address habang nananatili pa rin sa maliit na entropy sa ilalim. Bilang resulta, maaaring hindi malaman ng mga gumagamit ang problema hanggang sa mabuo ng isang attacker ang seed at ilipat ang pera.

Sabay nito, ang insidente ay nagkakaroon ng komplikasyon sa debate tungkol sa open-source at closed-source na hardware wallet. Ang Coldcard ay naglalabas ng source code ng kanyang firmware, bagaman hindi ito ipinapakalaya sa ilalim ng ganap na open-source na pahintulot na lisensya. Maaaring suriin ng mga developer ang vulnerable code, ngunit nanatiling hindi napapansin ang bug sa loob ng limang taon. Kaya, ang pampublikong code ay hindi nagjamin ng secure na code. Gayunpaman, ang pagkakaroon ng source ay patuloy na kinakailangan para sa makabuluhang community auditing dahil hindi kayang suriin ng mga researcher ang software na hindi nila ma-access.

Samantala, inireport ng CoinDesk na maaaring ipaglaban ng exploit ang ilang mga investor patungo sa Bitcoin ETFs. Alisin ng ETFs ang operasyonal na panganib ng paggawa, pag-iimbak, at pagprotekta ng mga pribadong key. Gayunpaman, palitan ng mga investor ang mga panganib na ito sa pagkakaroon ng pagkakasalalay sa isang reguladong custodian at financial institution. Sa ibang salita, ang tawag sa pagtukoy ay hindi tinatanggal ang custody risk. Sa halip, ito ay nagpapalipat ng responsibilidad mula sa indibidwal na tagapag-imbak patungo sa isang institutional na provider.

Sa huli, natuklasan ng Blockaid na ang mga napapalitan na susi at pagkabigo sa operasyonal na seguridad ang nagdulot ng karamihan sa mga pagkawala ng cryptocurrency noong unang kalahati ng 2026, kaysa sa pagpapakita ng mga smart contract. Sa kontekstong ito, ang insidente ng Coldcard ay sumasalamin sa mas malawak na pattern dahil ang attacker ay tumarget sa proseso ng pagbuo ng susi, hindi sa pagpapakita ng Bitcoin mismo. Ang cold storage ay patuloy na ang tamang pagpipilian para sa karamihan sa mga tagapagtaguyod ng Bitcoin sa matagalang panahon. Ngunit ang “cold” ay hindi nangangahulugang “hindi mababaliw.” Tiwalaan ang prinsipyo. I-verify ang implementasyon.

Ang artikulong ito ay para sa impormasyon at edukasyon lamang at hindi nagtataglay ng payo sa financial, investment, legal, o security. Laging gawin ang iyong sariling pag-aaral bago gumawa ng mga desisyon kaugnay ng crypto.