Coinkite, syarikat Kanada di sebalik dompet keras Coldcard, telah memperingatkan pengguna bahawa dana bitcoin mungkin berisiko jika benih dompet mereka dihasilkan pada versi firmware terjejas tertentu.
Syarikat tersebut mengatakan isu tersebut mempengaruhi setiap rilis firmware Mk3 sejak versi 4.0.1, yang dirilis pada Mac 2021, dan dikaitkan dengan entropi yang dihasilkan peranti semasa mencipta benih.
Dana Masih Dalam Risiko
Benih yang dihasilkan pada Mk4 dan Mk5 sebelum versi firmware 5.6.0, dan pada Q sebelum versi 1.5.0Q, juga terjejas, walaupun Coinkite said kesan terhadap model-model tersebut kurang serius tetapi masih serius. Menurut syarikat tersebut, benih yang terjejas mempunyai sekitar 72 bit entropi berbanding 128 bit yang dijangka. Menurut kemas kini tersebut, TAPSIGNER, OPENDIME, dan SATSCARD tidak terjejas kerana mereka menggunakan kodbas yang berbeza.
Coinkite mendesak pengguna yang terjejas untuk memindahkan dana mereka ke benih baru yang dihasilkan pada peranti yang tidak terjejas. Syarikat tersebut mengatakan pengguna Mk4 dan Mk5 harus terlebih dahulu mengemas kini ke versi firmware 5.6.0 atau lebih tinggi, manakala pengguna Q perlu memasang versi 1.5.0Q atau lebih tinggi sebelum menghasilkan benih pengganti.
Pengguna juga disarankan untuk membuat sandaran dan mengesahkan benih baru, mengesahkan alamat penerimaan baru pada peranti, dan menghantar transaksi ujian kecil sebelum memindahkan dana yang tinggal. Jika Mk3 adalah satu-satunya pilihan yang tersedia, ia mencadangkan untuk sementara menggunakan kata laluan BIP-39 yang kuat dan unik serta mengesahkan cap dompet dan alamat penerimaan dengan teliti.
Pencurian Berskala Besar
Pemberitahuan itu muncul selepas beberapa laporan muncul pada 30 Julai bahawa bitcoin telah disedut daripada dompet Coldcard. Atlas21 melaporkan bahawa operasi automatik swept 500 alamat tanda tangan tunggal merentasi empat blok berturut-turut, dari 960188 hingga 960191. Transaksi-transaksi tersebut memindahkan 1,324 UTXO dengan jumlah 594.5 BTC, yang bernilai sekitar $38 juta pada harga semasa. Bukti menunjukkan kunci peribadi lemah yang dihasilkan semasa dompet-dompet tersebut dicipta.
Tiada dompet multisig atau Taproot were di antara mangsa.
Kerugian median ialah 0.41 BTC, manakala 110 mangsa kehilangan lebih daripada satu bitcoin. Kerugian terbesar ialah 29.9 unit aset kripto, manakala operasi itu mengambil kira lebih kurang 0.044 unit dalam yuran transaksi. Atlas21 mengatakan amaran awam pertama datang daripada seorang mangsa di Reddit, yang menyatakan bahawa Coldcard mereka telah menghasilkan frasa benih 24 perkataan pada tahun 2021 dan frasa benih itu tidak pernah dimasukkan ke dalam komputer.
Walaupun penarikan besar-besaran, harga bitcoin tidak terpengaruh kerana ia terus diperdagangkan berhampiran $64,000.
Post Coldcard Mk3 Pengguna Diingatkan Risiko Selepas 594 BTC Disapu Dari 500 Alamat pertama kali muncul di CryptoPotato.