594 $BTC hilang dalam 25 menit. Sekitar 500 dompet single-sig dikosongkan. Benih Coldcard yang dibuat sejak Maret 2021 adalah benang merahnya. Jika Anda membuat benih Anda dengan Mk3 dengan firmware 4.0.1 atau lebih baru, atau dengan Mk4, Q, atau Mk5 sebelum perbaikan baru, perangkat melewati keacakan perangkat kerasnya sendiri. Ia jatuh ke sesuatu yang jauh lebih lemah, mendekati 40 bit pada model lama. Itu bukan "tidak mungkin ditebak." Itu bisa dicari. Saya terus memandangi layar Q di foto ini. "Jangan Percaya. Verifikasi." Kalimat itu adalah inti dari Coldcard. Orang-orang membeli ini khusus agar mereka tidak perlu percaya pada generator angka acak di dalam kotak tertutup. Mereka mengisolasi secara fisik, menulis kata-katanya di logam, tidak pernah mengetik benih ke komputer, dan menyimpan koinnya selama bertahun-tahun. Dan satu hal yang tidak bisa mereka verifikasi—kualitas entropi yang diklaim dihasilkan oleh perangkat—gagal diam-diam selama lima setengah tahun. Itulah bagian yang dilewati sebagian besar postingan. Ini bukan tautan phishing. Bukan implant rantai pasokan. Bukan pengguna yang mengulang benih atau mengklik QR buruk. Ini adalah orang-orang yang mengikuti standar tertinggi yang telah didorong komunitas selama satu dekade. Perangkat itu sendiri memberi tahu mereka bahwa benihnya kuat. Kode sumber terbuka tersedia secara publik sepanjang waktu. Coinkite bahkan menjalankan AI atasnya beberapa minggu sebelumnya, dan model itu melewatkan bug tersebut. Orang lain menjalankan AI dan tidak melewatkan itu. Pelajaran diam-diamnya adalah bahwa "sumber terbuka + air gap" tidak lagi cukup sendirian. Ketika AI bisa membaca setiap komit lebih cepat daripada tim tinjau manusia, kesalahan bendera build yang sudah berusia lima tahun menjadi bom waktu. Orang-orang yang menambahkan passphrase BIP-39, membuat entropi dadu sendiri, atau menggunakan multisig di berbagai perangkat adalah yang masih memegang koin mereka. Semua orang lain belajar dengan cara sulit bahwa "set and forget" adalah ilusi. Jika benih Anda berpotensi terdampak, jangan hanya memperbarui firmware. Itu tidak memperbaiki benih yang sudah lemah. Buat benih baru di versi yang telah diperbaiki, verifikasi cadangannya, kirim uji coba kecil, lalu pindahkan sisanya. Perlahan. Hati-hati. Ini menyakitkan karena menyerang para penganut bitcoin yang melakukan semuanya dengan benar. Itulah sebabnya ini penting.