Nangyari ang pinakabagong pag-hack ng bitcoin nang magresulta ang isang vulnerability sa pseudo-random number generator (PRNG) na nakapaloob sa firmware ng Coldcard hardware wallet mula noong Marso 2021 sa patunay na pagkawala ng 1,367 BTC, halos $86M, sa pamamagitan ng 4,585 mga address, ayon sa on-chain mapping na inilabas ni Galaxy Research hanggang Agosto 2, 2026.
Ang insidente ay ang pinakamalaking pag-hack sa hardware wallet sa kasaysayan ng bitcoin batay sa kumpirmadong pagkawala, at hindi nangangailangan ng phishing, physical access sa device, o user error. Ito ay hindi simpleng pagkabigo ng produkto na Coldcard.
🚨 Natukoy ang isang ikatlong alon sa mga aksyon na inaasahan naming mga hack sa mga address na ginawa ng Coldcard, kung saan natanggal ang 207.7294 BTC.
Ang aming inaasahang obserbadong laki ng Coldcard hack ay ngayon ay 1,367.05 BTC (~$88.6 m) sa pamamagitan ng 4,585 mga address.
Higit pang mga update sa talakayan sa ibaba 👇 https://t.co/hPtXh9444Dpic.twitter.com/g6xA4OOi2f
— Galaxy Research (@glxyresearch) August 1, 2026
Ito ay isang structural na pagpapakita na ang security guarantee ng anumang self-custody arrangement, hardware o software, ay nakasalalay buo sa kalidad ng entropy ng its seed generation, at na ang isang mag-isa namang maling konfiguradong preprocessor macro ay maaaring magpapakalat nang tahimik na i-collapse ang guarantee na iyon sa loob ng taon nang hindi nagpapalabas ng anumang nakikita alarm.
Ang pinakabagong hack sa bitcoin ay nangyari habang ang BTC USD ay bumaba ng -1.4% sa araw na ito, nasa $62,250 matapos ang isang mahirap na pitong araw kung saan bumaba ito mula sa higit sa $65,000. Ang 24-hour trading volume ay nasa $16.9Bn, bumaba mula sa higit sa $20Bn kahapon.
Mekanismo ng Bitcoin Hack: Paano nag-break ang isang mali-configure na macro sa limang taon ng seed generation
Ang pangunahing sanhi ng isyu na natuklasan ng engineering team ni Block ay nasa libngu library ng Coldcard. Ikinonfigura ni Coinkite ang board sa zero upang i-disable ang RNG ng MicroPython, na may intensyon na gamitin ang kanilang hardware true random number generator (TRNG). Gayunpaman, ang libngu guard ay nag-check lamang kung ang macro ay definido, na nagpapahintulot sa zero na lumampas sa pag-check.
Bilang resulta, in-off ang MicroPython ang STM32 hardware RNG call at nag-asa sa Yasmarang, isang software PRNG na may lamang humigit-kumulang 40 bits ng epektibong entropy kesa sa inaasahang 128 bits para sa isang BIP-39 seed phrase.
Habang ang mga mas huling modelo (Mk4, Mk5, Q) ay nag-improve patungo sa isang inaasahang 72 bits ng epektibong entropy, ang antas na ito ay kahit pa rin ay hindi sapat. Ang pagkakaiba sa pagitan ng 40 bits at 128 bits ay malaki, na nagiging mas madali para sa mga attacker na targetin ang mga mahina seed.
Noong Hulyo 30, 2026, naglabas ng pagpapaalala sa kaligtasan ang Coinkite ilang oras bago ang isang pag-atake na umabot sa halos 594 BTC mula sa 500 na address. Natukoy ang dalawang karagdagang alon, na may kabuuang 1,367.05 BTC sa 4,585 na address hanggang Agosto 2. Ang karamihan sa mga nakuha na Bitcoin ay hindi pa ginagamit, na nagpapakita na ang attacker ay naghihintay bago ilipat ang mga pondo.
IMBAS: Pinakamahusay na Meme Coins na Biliin sa 2026
Crypto Security Context: Isang Uulit-ulit na Pattern ng Entropy Failure
Isinira ang $1.6 milyon dolyar sa bitcoin mula sa aking account noong Hulyo 29 sa Cold Card wallet hack.
Nasa cold storage ang aking bitcoin. Nasa ColdCard device ang aking mga key na naka-imbak sa isang safety deposit box na hindi kailanman na-connected sa internet.
Ang bahaging ito ay medyo teknikal, pero narito ang… pic.twitter.com/Lf9kJv9Jo4
— Jonathan Goodman 🇨🇦 (@itscoachgoodman) August 1, 2026
Ang insidente ng Coldcard ay sumasalamin sa isang dokumentadong pattern. Ang kahinaan ng SecureRandom ng Android noong 2013 ay nagrerepeta ng nonces sa mga ECDSA signature, na nagpapakita ng mga key sa maraming Bitcoin wallet. Ang Profanity vanity address generator na ginamit sa Wintermute hack noong 2022 ay nag-seed ng key generation gamit ang 32 bits ng entropy, na nagpapahintulot sa isang attacker na i-draw ang $160 milyon.
Ang paglalabas ng Milk Sad noong 2023 ay natuklasan na ang bx seed sa Libbitcoin Explorer ay gumamit ng Mersenne Twister na sinimulan ng system time, na nagpapaliit sa 256 bits ng inaasahang entropy sa halos 32 at nagpapakita ng higit sa 120,000 na wallet. Magkakaibang codebases, magkakaibang chains, parehong struktural na pagkabigo: isang pinagkakatiwalaang pinagmulan ng randomness na hindi talaga malakas.
Ari Redbord, pangkalahatang pinuno ng patakaran sa TRM Labs, ay inilarawan ang insidente bilang patunay na ang pag-transfer sa self-custody ay nagdudulot ng panganib kaysa mag-alis nito, isang pagpapaliwanag na tugma sa H1 2026 data ng TRM Labs na nagpapakita na ang mga paglabag sa infrastraktura at susi, bagaman kumakatawan lamang sa 15 porsyento ng mga insidente, ay nagsilbi bilang 76 porsyento ng kabuuang pagkawala sa dolyar sa isang rekord na 207 mga hack event.
Sinabi ng Galaxy na ipinahayag nito ang higit sa 600 na inaasahang address na kontrolado ng mga attacker sa mga tagapag-imbentaryo ng gobyerno, mga vendor ng pagpapatupad, at mga kumpanya ng cybersecurity, habang nagbabala na ang kanilang pagkakakilanlan sa Coldcard ay batay sa on-chain heuristics at hindi sa kompyutasyonal na pag-reconstruct ng seed bawat address.
ILALIMIN: Pinakamahusay na Meme Coins na Biliin para sa Agosto
Lumabas muna ang post $86M sa Bitcoin na Nawala Dahil sa Mahimbing na PRNG Flaw ng Coldcard sa Loob ng Limang Taon sa Coinspeaker.