Isang bug sa firmware na ipinakilala noong Marso 2021 ng Canadian hardware wallet maker na Coinkite ay nagsilang nang tahimik na magpapababa sa randomisasyon na ginamit upang mabuo ang mga seed phrase sa mga naapektuhan na Coldcard device. Sa halip na gumamit ng matibay na pinagmulan ng entropy, ang kamalian ay nagdirekta sa pagbuo ng seed patungo sa isang software-based pseudorandom number generator. Sa simpleng salita: ang mga “random” na numero ay hindi sapat na random, kaya itinuturo ng matematika na posible para sa mga attacker na muling bumuo ng mga private key nang hindi pa hawakan ang pisikal na device.
Gaano kamasama nangyari
Ang unang malaking alon ng pag-atake ay dumating noong Hulyo 30, 2026. Sa loob ng halos 25 minuto, nawala ang halos 594 BTC, na may halagang $38 milyon, mula sa mga halos 500 na address. Iyon ay kung ano lang ang unang bahagi.
Natuklasan ng Galaxy Research ang hindi bababa sa tatlong hiwalay na alon ng mga serangan. Hanggang sa maagang Agosto 2026, tumataas na ang kabuuang pagkawala sa 1,816 BTC, na may halagang pagitan ng $114 milyon at $116 milyon, na nakalat sa higit sa 5,200 na napapalitan na address. Ang mga serangan ay nakatuon sa halos eksklusibong mga single-signature wallet, ang pinakakaraniwang setup na ginagamit ng karaniwang gumagamit, nang walang karagdagang mga layer ng seguridad na ibinibigay ng multi-signature configuration.
Kinumpirma ng CEO ng Coinkite at ang koponan ng inhinyero sa Block ang pagkakaroon ng bug. Ipinaglaban ang mga update sa firmware bilang emergency, kasama ang mga urgente nga panuto para sa mga nakaapektong gumagamit na lumikha ng bagong seed phrase at agad na ilipat ang kanilang pera. Para sa marami, napasok na ang payo na iyon.
Ang sugat mismo ay nagsimula noong Marso 1, 2021, at nakakaapekto sa Coldcard Mk3 at iba pang pangunahing modelo noong panahong iyon.
Ano ang ibig sabihin nito sa reputasyon ng self-custody
Dapat ang hardware wallets na maging ang gold standard. Offline, air-gapped, imune sa remote exploits. Ang insidente sa Coldcard ay direktang lumalaban sa kuwentong iyon, at ang panahon ay mahalaga: hindi ito kuwento tungkol sa isang maliit na exchange o isang fly-by-night na DeFi protocol. Ang Coinkite ay isa sa mga pinakamakapangyarihang pangalan sa Bitcoin security culture.
Ito ay buksan ang pinto para sa mga Bitcoin ETF. Ang spot Bitcoin ETFs ay nalinis na ang operasyonal na bigat ng pagpapamahala ng susi para sa mga institusyonal at retail na investor na naghahanap ng eksposur sa bitcoin nang walang pag-aalala sa wallet. Ang pag-hack ng $114 milyon sa isang pinagkakatiwalaang hardware device ay pinapabilis ang kaso nang malaki.
Ang mga institutional custodian ang makakabenefit nang direkta. Ang mga kumpanya na kasalukuyang nagpapatakbo sa ilalim ng mga regulatory framework, may insurance, at gumagamit ng multi-party computation o multi-signature custody sa malaking iskala ay may bagong data point na maaaring gamitin bilang pangunahing punto sa bawat usapin sa pagbebenta.
Ang mga wallet na may single-signature, ang pangunahing layunin sa mga pag-atake na ito, ay nananatiling pinakakaraniwang setup sa mga indibidwal na tagapag-angkat. Anumang makabuluhang paglipat mula sa modelo na iyon, kahit pa sa mga ETF, multi-signature arrangement, o managed custody services, ay magkakaroon ng struktural na pagbabago sa paraan ng pagkakabahagi ng pag-aari ng Bitcoin.