Coinkite, perusahaan Kanada di balik dompet perangkat keras Coldcard, memperingatkan pengguna bahwa dana bitcoin berisiko jika seed dompet mereka dihasilkan pada versi firmware tertentu yang terpengaruh.
Perusahaan mengatakan masalah ini memengaruhi setiap rilis firmware Mk3 sejak versi 4.0.1, yang dirilis pada Maret 2021, dan terkait dengan entropi yang dihasilkan perangkat saat membuat seed.
Dana Masih Berisiko
Benih yang dihasilkan pada Mk4 dan Mk5 sebelum versi firmware 5.6.0, dan pada Q sebelum versi 1.5.0Q, juga terpengaruh, meskipun Coinkite said dampak pada model-model tersebut kurang parah tetapi tetap serius. Menurut perusahaan, benih yang terpengaruh memiliki sekitar 72 bit entropi alih-alih 128 bit yang diharapkan. Menurut pembaruan tersebut, TAPSIGNER, OPENDIME, dan SATSCARD tidak terpengaruh karena menggunakan basis kode yang berbeda.
Coinkite mendesak pengguna dengan perangkat yang terdampak untuk memindahkan dana mereka ke seed yang baru dibuat di perangkat yang tidak terdampak. Perusahaan tersebut mengatakan pengguna Mk4 dan Mk5 harus terlebih dahulu memperbarui ke versi firmware 5.6.0 atau lebih baru, sementara pengguna Q harus menginstal versi 1.5.0Q atau lebih baru sebelum membuat seed pengganti.
Pengguna juga disarankan untuk mencadangkan dan memverifikasi seed baru, mengonfirmasi alamat penerima baru di perangkat, dan mengirimkan transaksi uji coba kecil sebelum memindahkan dana yang tersisa. Jika Mk3 adalah satu-satunya pilihan yang tersedia, disarankan untuk sementara menggunakan passphrase BIP-39 yang kuat dan unik serta memverifikasi dengan hati-hati fingerprint dompet dan alamat penerima.
Pencurian Skala Besar
Peringatan itu muncul setelah beberapa laporan muncul pada 30 Juli bahwa bitcoin telah ditarik dari dompet Coldcard. Atlas21 melaporkan bahwa operasi otomatis swept 500 alamat single-signature di empat blok berturut-turut, dari 960188 hingga 960191. Transaksi-transaksi tersebut memindahkan 1.324 UTXO dengan total 594,5 BTC, yang bernilai sekitar $38 juta pada harga saat ini. Bukti menunjukkan adanya kunci pribadi lemah yang dihasilkan saat dompet dibuat.
Tidak ada dompet multisig atau Taproot were di antara para korban.
Kerugian median adalah 0,41 BTC, sementara 110 korban kehilangan lebih dari satu bitcoin. Kerugian terbesar adalah 29,9 unit aset kripto, sementara operasi tersebut menghabiskan sekitar 0,044 unit dalam biaya transaksi. Atlas21 mengatakan peringatan publik pertama datang dari seorang korban di Reddit, yang mengatakan bahwa Coldcard mereka telah menghasilkan seed phrase 24 kata pada tahun 2021 dan seed tersebut tidak pernah dimasukkan ke komputer.
Meskipun ada penarikan besar-besaran, harga bitcoin tetap tidak terpengaruh karena terus diperdagangkan di dekat $64.000.
Pos Coldcard Mk3 Users Warned of Risk After 594 BTC Swept From 500 Addresses muncul pertama kali di CryptoPotato.