कोइनकाइट, जो कॉल्डकार्ड हार्डवेयर वॉलेट के पीछे कैनेडियन कंपनी है, ने उपयोगकर्ताओं को चेतावनी दी है कि यदि उनका वॉलेट सीड किसी प्रभावित फर्मवेयर संस्करण पर उत्पन्न किया गया था, तो बिटकॉइन धन खतरे में हो सकता है।
कंपनी ने कहा कि समस्या मार्च 2021 में जारी किए गए संस्करण 4.0.1 के बाद से हर Mk3 फर्मवेयर रिलीज को प्रभावित करती है, और यह बीज बनाते समय उपकरण द्वारा उत्पन्न एंट्रॉपी से जुड़ी है।
धन अभी भी जोखिम में है
Mk4 और Mk5 पर फर्मवेयर संस्करण 5.6.0 से पहले और Q पर संस्करण 1.5.0Q से पहले उत्पन्न किए गए बीज भी प्रभावित हैं, हालांकि Coinkite said ने कहा कि इन मॉडलों पर प्रभाव कम गंभीर है, लेकिन अभी भी गंभीर है। कंपनी के अनुसार, प्रभावित बीज में 128 बिट के बजाय लगभग 72 बिट एंट्रॉपी होती है। अपडेट के अनुसार, TAPSIGNER, OPENDIME और SATSCARD प्रभावित नहीं हैं क्योंकि उनका उपयोग अलग-अलग कोडबेस करते हैं।
Coinkite ने प्रभावित उपयोगकर्ताओं को एक अप्रभावित उपकरण पर एक नए जेनरेट किए गए सीड पर अपनी राशियाँ स्थानांतरित करने की सलाह दी। कंपनी ने कहा कि Mk4 और Mk5 उपयोगकर्ताओं को पहले फर्मवेयर संस्करण 5.6.0 या उससे अधिक पर अपग्रेड करना चाहिए, जबकि Q उपयोगकर्ताओं को एक प्रतिस्थापन सीड जेनरेट करने से पहले संस्करण 1.5.0Q या उससे अधिक स्थापित करना चाहिए।
उपयोगकर्ताओं को नए सीड की बैकअप और पुष्टि करने, उपकरण पर एक नया प्राप्ति पता पुष्टि करने, और शेष धनराशि स्थानांतरित करने से पहले एक छोटी परीक्षण लेनदेन भेजने की सलाह दी गई। यदि Mk3 ही एकमात्र उपलब्ध विकल्प है, तो इसने अस्थायी रूप से एक मजबूत, अद्वितीय BIP-39 पासफ्रेज का उपयोग करने और वॉलेट फिंगरप्रिंट और प्राप्ति पते की सावधानी से पुष्टि करने का सुझाव दिया।
बड़े पैमाने पर चोरी
यह सलाह उसके बाद आई जब 30 जुलाई को कई रिपोर्ट्स सामने आईं कि बिटकॉइन को Coldcard वॉलेट्स से खाली कर दिया गया था। Atlas21 ने रिपोर्ट किया कि एक स्वचालित ऑपरेशन swept चार क्रमिक ब्लॉक्स, 960188 से 960191 तक, 500 सिंगल-सिग्नेचर पतों को। ये लेनदेन 1,324 UTXOs को हिला दिया, जिसका कुल योग 594.5 BTC है, जो वर्तमान कीमतों पर लगभग $38 मिलियन के बराबर है। सबूतों से पता चला कि वॉलेट्स के बनाते समय कमजोर प्राइवेट कीज़ जनरेट किए गए थे।
कोई मल्टिसिग या टैपरूट वॉलेट पीड़ितों के बीच नहीं थे।
माध्यिका नुकसान 0.41 बिटकॉइन था, जबकि 110 पीड़ितों को एक बिटकॉइन से अधिक खोना पड़ा। सबसे बड़ा नुकसान क्रिप्टो संपत्ति के 29.9 इकाइयाँ था, जबकि ऑपरेशन की लेनदेन शुल्क लगभग 0.044 इकाइयाँ थी। एटलस21 ने कहा कि पहली सार्वजनिक चेतावनी रेडिट पर एक पीड़ित से आई, जिसने कहा कि उनका कोल्डकार्ड 2021 में 24-शब्दों की सीड फ्रेज उत्पन्न कर चुका था और सीड कभी कंप्यूटर पर नहीं दर्ज किया गया था।
भारी निकास के बावजूद, बिटकॉइन की कीमत जारी रही और यह $64,000 के पास ही व्यापार कर रहा था।
पोस्ट Coldcard Mk3 उपयोगकर्ताओं को 500 पतों से 594 BTC ले जाने के बाद जोखिम के बारे में चेतावनी सबसे पहले CryptoPotato पर प्रकाशित हुई।