Apabila keselamatan peranti gagal, wang bergerak. Itu kelihatan seperti pelajaran daripada kerentanan besar yang diumumkan pada dompet peranti Coldcard lama pada akhir Julai 2026, yang menyebabkan arus modal mengalir ke ETF Bitcoin spot termasuk $IBIT, $FBTC, $BITC, $ARKB, dan $MSBT, dengan jumlah aliran harian gabungan sebanyak $620 juta selepas kebocoran tersebut.
Apa yang sebenarnya berlaku dengan Coldcard
Pada 30 Julai 2026, Coinkite, syarikat Kanada di sebalik dompet keras Coldcard, mengungkapkan kerentanan firmware yang mempengaruhi model lama, termasuk siri Mk3.
Kekurangan tersebut bukan tentang seseorang mencuri peranti secara fizikal. Ia lebih halus dan, dalam beberapa segi, lebih menakutkan. Kerentanan ini mengurangkan entropi yang digunakan semasa penghasilan frasa benih kepada kira-kira 40 bit. Dalam Bahasa Inggeris: kacakrawal yang tertanam dalam penciptaan kunci utama dompet jauh lebih lemah daripada sepatutnya, menjadikannya secara matematik mungkin bagi penyerang untuk menghasilkan semula kunci peribadi dari awal.
Galaxy Research menganggarkan bahawa antara 1,367 hingga 1,816 BTC telah ditarik daripada lebih daripada 5,200 alamat dompet dalam beberapa hari selepas penemuan eksploit. Pada harga yang berlaku pada masa kebocoran itu, ia bermaksud kerugian kira-kira $89 juta hingga $116 juta.
Pencurian berlaku dengan pantas. Sebahagian besar kerosakan berlaku antara akhir Julai dan awal Ogos 2026, dengan Galaxy Research menentukan kira-kira 1,367 BTC telah ditarik daripada 4,585 alamat yang terjejas pada masa pengiraan awal diterbitkan. CEO Coinkite, Rodolfo Novak, memberi respons awam pada 31 Julai, menasihati pengguna yang frasa benihnya dihasilkan pada peranti yang terjejas untuk memindahkan dana mereka segera.
Model Coldcard yang lebih baharu mengalami tahap paparan yang kurang. Pengurangan entropi adalah separa dan bukan sepenuhnya pada peranti yang lebih baharu, yang membendung tetapi tidak menghilangkan kerentanan mereka berbanding unit lama.
Harga bitcoin tidak terpengaruh. Arus ETF tidak demikian.
Tindakan harga bitcoin agak redup. Walaupun terdapat pelanggaran yang menghapuskan puluhan juta dolar bagi ribuan pemegang dompet, pasaran luas hanya mencatat penurunan kecil sekitar 3% sebelum stabil dekat tahap sebelumnya.
Isyarat yang lebih menarik datang daripada aliran ETF. ETF Bitcoin spot mencatat aliran harian gabungan sebanyak $620 juta semasa tempoh selepas pengumuman Coldcard, merangkumi ticker seperti iShares Bitcoin Trust, Fidelity Wise Origin Bitcoin Fund, ARK 21Shares Bitcoin ETF, dan lain-lain. Aliran sesi individu dalam jangka masa itu berkisar antara $91.84 juta pada aras terendah hingga jumlah dalam julat $170 juta hingga $244 juta pada hari-hari yang lebih kuat.
Penyelidikan mencatat bahawa laporan mengenai korelasi langsung antara serangan dan aliran $620 juta ke dalam ETF bitcoin masih belum disahkan, walaupun masa yang tepat menunjukkan kemungkinan perpindahan keselamatan di kalangan pelabur yang sedar akan risiko yang ditimbulkan oleh kerentanan peranti keras. Angka $620 juta merangkumi pelbagai produk, yang bermakna ini bukan anomali satu dana sahaja yang didorong oleh satu tiket institusi besar.
Apakah ini bermaksud untuk perdebatan self-custody
Sebuah kelemahan firmware yang mengganggu penghasilan entropi tidak hanya mempengaruhi mereka yang kehilangan dana. Ia memperkenalkan keraguan di kalangan pengguna dompet keras yang lebih luas yang tidak tahu sama ada frasa benih mereka dihasilkan dengan kerawakan yang mencukupi.
Bagi pelabur yang kini memegang bitcoin dalam kendali sendiri pada peranti lama, soalan praktikal segera ialah sama ada frasa benih mereka dihasilkan pada peranti atau versi firmware yang terjejas oleh kelemahan entropi yang berkurang.