Skala eksploitasi dompet peranti keras Coldcard semakin jelas. Galaxy Research kini mengesahkan dengan keyakinan tinggi bahawa sekurang-kurangnya 1,719 BTC telah dicuri merentas beberapa akaun pengguna, dengan nilai kompromi kira-kira $111 juta mengikut harga terkini. Tetapi nombor itu mungkin bukan batas tertinggi. Jumlah kerugian, menurut penilaian terkini pasukan penyelidikan yang dirujuk dalam laporan asal, kemungkinan akan melebihi $130 juta apabila semua kes yang belum disahkan disahkan.
Lebih daripada 25 corak serangan yang berbeza telah dikenal pasti, dan penyiasat kini percaya bahawa pelbagai pelaku ancaman sedang memanfaatkan kelemahan ini. Jumlah mangsa semakin bertambah; Galaxy mengesahkan bahawa ia telah menerima laporan daripada lebih daripada 250 individu. Jika kes-kes semua disahkan akhirnya, jumlah rampasan boleh melebihi 2,300 BTC. Sementara itu, peranti keras yang diketahui terjejas hanyalah Coldcard Mk3, Mk4, Mk5, dan model Q. Tiada bukti bahawa ralat ini telah merebak ke peranti penandatanganan atau dompet lain, dan Galaxy tidak menunjukkan bahawa sebarang perisian atau firmware yang berkaitan di luar ekosistem Coldcard telah terjejas.
Mimpi buruk kendali sendiri
Insiden ini menyerang akar budaya self-custody. Coldcard secara luas dianggap sebagai salah satu dompet peranti keras bitcoin yang paling selamat, direka khusus untuk penyimpanan berair-gap dan tahap paranoid. Fakta bahawa ia telah diceroboh pada skala sebegini, dengan jendela eksploitasi yang kelihatan panjang, akan menggoyahkan keyakinan pengguna yang telah mempertaruhkan seluruh kekayaan bersih mereka padanya. Ia juga memperumit perbincangan undang-undang yang sudah tegang mengenai perlindungan self-custody di Washington. Hanya beberapa hari sebelum undi penting di Senat mengenai undang-undang kripto bersejarah—yang dibincangkan dalam liputan kami bagaimana bank cuba membentuk semula rangka undang-undang ini—eksploit sebesar ini memberikan titik data baru yang kuat kepada lawan undang-undang self-custody yang liberal.
Dompet keras telah dijual sebagai pertahanan paling utama terhadap serangan peretasan, namun ia masih rentan terhadap serangan rantai bekalan, pengubahsuaian firmware, dan eksploitasi saluran sisi fizikal. Dalam kes ini, vektor masuk yang tepat belum diterangkan secara awam oleh Coinkite atau Galaxy, tetapi kehadiran begitu banyak corak yang berbeza menunjukkan ia bukan satu kecacatan tunggal. Pencetus nombor rawak yang salah konfigurasi, komponen rantai bekalan yang telah disusupi, atau kelemahan dalam protokol komunikasi peranti boleh semuanya berperanan. Bagi pengguna yang kehilangan dana, terdapat rasa pahit tambahan kerana ketidakbolehtukaran Bitcoin menjadikan pemulihan dana hampir mustahil.
Apakah yang akan datang untuk mangsa dan pasaran
Dengan lebih daripada 250 mangsa yang telah dikenal pasti, konsekuensi undang-undang dan reputasi semakin meningkat terhadap Coinkite, pembuat Coldcard. Syarikat ini belum mengeluarkan laporan teknikal mendalam, dan pasaran sedang menunggu untuk melihat sama ada penambahbaikan adalah mungkin untuk peranti sedia ada atau jika penggantian diperlukan. Sejauh ini, hanya barisan Coldcard sendiri yang kelihatan terjejas, tetapi penemuan pelaku berasingan yang banyak menunjukkan kerentanan ini mungkin telah diketahui secara meluas dalam kalangan tertentu sebelum ia menjadi awam. Ini menimbulkan kemungkinan tidak selesa bahawa eksploit ini pertama kali ditemui dan diperdagangkan secara peribadi, baru menjadi headline selepas kerugian melonjak.
Dari perspektif institusi, peristiwa ini akan mendorong dana dan pemegang besar untuk lebih teliti dalam memilih peranti mereka. Penyelesaian penyimpanan dingin berbasis multi-sig dan penyedia layanan penjaga mungkin mengalami minat semula. Pertanyaan mengenai insurans juga muncul semula: kebanyakan pengguna penyimpanan sendiri tidak memiliki perlindungan apa-apa, manakala penyedia penjaga yang diatur menggabungkan insurans ke dalam perkhidmatan mereka. Angka lebih daripada $130 juta, walaupun kecil berbanding kapitalisasi pasaran bitcoin keseluruhan, cukup besar untuk menarik perhatian pengawal pada masa para pembuat undang-undang sedang mempertimbangkan bagaimana mengklasifikasikan dan mengawasi penyedia dompet.
Ketidakpastian menghantui
Beberapa soalan yang belum terjawab menjadikan ini sebuah cerita yang akan berkembang lebih lanjut. Laporan Galaxy tidak menjelaskan bagaimana penyerang berjaya mengekstrak kunci peribadi atau menandatangani transaksi tanpa akses fizikal kepada peranti. Adalah mungkin kerentanan tersebut membolehkan penyerang yang mendapat akses sementara—mungkin semasa penghantaran atau melalui penjual runcit yang telah disusupi—untuk kemudian menarik dana tanpa akses berterusan. Fakta bahawa terdapat lebih daripada 25 corak menunjukkan bahawa pelbagai teknik telah digunakan, dan tidak boleh diabaikan bahawa beberapa mangsa mungkin tanpa sengaja menggunakan kemas kini firmware jahat dari sumber tidak rasmi.
Komuniti dibiarkan menilai sama ada jenama Coldcard mampu memulihkan reputasinya. Keselamatan dompet keras adalah sama tentang kepercayaan seperti halnya tentang reka bentuk kriptografi. Sekali kepercayaan itu rosak pada skala ribuan koin, jalan untuk pulih adalah panjang. Sementara itu, pengilang lain kemungkinan akan menggunakan peristiwa ini untuk memasarkan peranti mereka sendiri sebagai lebih unggul, dan pelajaran yang lebih luas untuk industri ini jelas: penyimpanan sendiri memerlukan kewaspadaan berterusan, dan tiada satu peranti pun harus dianggap sebagai perisai ajaib.