Serangan keempat yang diduga terhadap Coldcard menyebabkan kerugian 389 BTC

Menyimpan dompet sejuk dalam laci tidak bermakna risiko juga dikunci di dalam laci.

Satu serangan yang diduga merupakan gelombang keempat Coldcard, yang ditandai sebagai "Galaxy’s Thorn", telah mengakibatkan kehilangan 389 Bitcoin. Jumlah ini cukup mencolok, tetapi yang lebih mengkhawatirkan bukanlah skala kerugian itu sendiri, melainkan rantai operasi yang biasa dikenal oleh pengguna penyimpanan dingin: membeli perangkat, inisialisasi, membuat cadangan kata sandi, memverifikasi alamat, dan menandatangani transaksi. Ia awalnya dianggap cukup kukuh, tetapi kini mungkin dapat dibobol di salah satu titik yang tampak biasa.

Maklumat yang boleh disahkan pada peringkat ini masih terhad: ini adalah serangan “diduga”, yang melibatkan 389 bitcoin, dan digambarkan sebagai gelombang keempat yang berkaitan dengan Coldcard. Titik masuk serangan, bahagian yang terjejas, dan tanggungjawab masih belum membentuk rantai yang lengkap dan boleh disahkan secara bebas.

Ini bukan alasan untuk meremehkan risiko, tetapi sebaliknya memerlukan kesabaran pasaran. Insiden keselamatan paling takut kepada dua jenis tindak balas: satu ialah mengumumkan produk tidak berfungsi sekadar melihat nama jenama; yang lain ialah menganggap penyimpangan sebagai kejadian operasi pengguna individu kerana butiran teknikal belum diumumkan. Penyebab yang salah sendiri juga akan mencipta kerugian seterusnya.

Penyerang tidak perlu menembus setiap pertahanan. Selagi pengguna kehilangan penilaian dalam satu tindakan kritikal, konsep-konsep seperti tanda tangan luar talian, pengasingan peranti keras, dan kepemilikan kunci peribadi yang kelihatan kukuh akan segera kembali kepada masalah nyata: asal usul peranti tersebut, sama ada firmware telah disahkan dengan betul, siapa yang menyuruh anda mengesahkan alamat penerimaan yang dipaparkan di skrin, dan sama ada proses pemulihan telah dicemari.

“Gelombang Keempat” dan “389 Bitcoin” adalah dua tag yang paling memberi kesan dalam peristiwa ini.

Gelombang keempat bermaksud ia tidak digambarkan sebagai kes luar biasa yang terpisah; 389 bitcoin mengubah perbincangan keselamatan dompet yang abstrak menjadi satu paparan aset yang boleh dirasakan. Namun, kedua-dua label ini masih tidak mencukupi untuk menyimpulkan kejayaan serangan atau bilangan mangsa, dan tidak boleh membuktikan secara langsung bahawa satu lubang kelemahan tertentu telah disahkan.

Yang boleh dinyatakan sekarang ialah sejumlah bitcoin yang jelas jumlahnya telah terlibat dalam satu siri aktiviti yang diduga sebagai serangan.

Bagi pemegang kripto biasa, risiko tidak hanya terletak pada “adakah kunci peribadi terhubung ke internet”. Sebuah aset dari penyimpanan statik hingga pemindahan di rantai biasanya melalui beberapa tahap: pengambilan peranti, inisialisasi, pelayanan, pengesahan alamat, pembinaan transaksi, pengesahan tanda tangan, dan penyiaran. Sekiranya mana-mana tahap mengalami penggantian, perayu, atau pemalsuan, pengguna mungkin menandatangani transaksi yang tidak benar-benar mereka fahami, walaupun peranti kelihatan normal.

Ini juga merupakan tempat di mana dompet keras paling sering disalaherti. Ia mengurangkan kemungkinan kunci peribadi terdedah secara langsung dalam persekitaran yang bersambung ke internet, tetapi tidak dapat secara automatik mengenal pasti peranti palsu, pemberitahuan palsu, kemas kini palsu, atau transaksi yang alamat penerimaannya telah ditukar secara halus. Dompet sejuk boleh mengasingkan kunci, tetapi tidak boleh mengasingkan kepercayaan buta pengguna terhadap maklumat luaran.

Institusi menghadapi masalah yang lebih besar.

Platform perdagangan, penyedia perkhidmatan pengekangan, dan institusi pembuat pasaran biasanya tidak akan mempermudah keselamatan dompet kepada “apakah peranti tertentu boleh dipercayai”. Mereka perlu menilai semula keseluruhan mekanisme penghantaran: adakah senarai putih penarikan mencukupi ketat, adakah perubahan alamat memerlukan persetujuan berbilang pihak, adakah peserta tanda ganda benar-benar dipisahkan, dan adakah transaksi tidak biasa boleh ditangguhkan dan dikaji semula secara manual.

Peranti lebih seperti kunci pintu, manakala peraturan pengagihan dana ialah sistem kebakaran keseluruhan bangunan. Walaupun kunci pintu rosak adalah berbahaya, kegagalan sistem kebakaranlah yang akan menyebabkan kejadian kecil menjadi kerugian sistemik.

Dompet keras yang dijual kepada pengguna bukan sekadar peranti, tetapi kuasa kendali atas aset sendiri: kunci peribadi tidak diserahkan kepada platform, transaksi tidak bergantung pada akaun terpusat, dan tanda tangan dilakukan dalam persekitaran bebas.

Harganya juga langsung: tanggung jawab pengesahan dipulangkan kepada pengguna.

Adakah pembungkusan telah dimanipulasi, adakah petunjuk inisialisasi boleh dipercayai, adakah maklumat pemulihan perlu dimasukkan semula di halaman tertentu, adakah pengemaskinian firmware berasal dari sumber yang betul, dan adakah alamat yang dipaparkan di skrin peranti sejajar dengan yang dijangka. Semua ini dahulu dianggap sebagai butiran kecil dalam pengalaman pengguna, tetapi kini semuanya berada dalam sempadan keselamatan.

Pembangun juga terperangkap dalam konflik yang sukar diselesaikan. Pasukan produk ingin proses yang lebih ringkas dan pemberitahuan yang lebih sedikit, kerana operasi yang kompleks akan menghalang pengguna baru; sementara pasukan keselamatan biasanya ingin menambahkan pengesahan, membatasi tingkah laku berisiko tinggi, serta memperketat semakan peningkatan dan rantaian bekalan. Pengguna merasa repot, dan langkah yang dirasakan repot oleh pengguna inilah yang paling disukai oleh penyerang.

Platform dan penyedia perkhidmatan juga tidak mempunyai pilihan mudah. Had penarikan, tempoh penangguhan untuk perubahan alamat, dan semakan manual untuk transaksi jumlah besar, akan dianggap oleh sebahagian pengguna sebagai gangguan terhadap autonomi; sekiranya risiko sepenuhnya dipindahkan kepada individu, kepercayaan akan cepat terjejas apabila kejadian berlaku. Dari sudut pengawasan, pandangan lebih dingin: sekiranya serangan berterusan yang disyaki meluas, pengungkapan risiko, jejak saluran jualan, dan mekanisme pemberitahuan kejadian—semuanya akan menjadi isu yang tidak boleh dielakkan.

Di sini tidak ada naratif romantis tentang "terpusat melawan tidak terpusat". Yang di permukaan adalah siapa yang menanggung kos pengesahan. Pengguna ingin geseran rendah, pengilang ingin batasan tanggungjawab, platform ingin boleh diaudit, dan pengawas ingin boleh dilacak. Setiap pihak ingin mengurangkan beban mereka, dan laluan serangan sering tumbuh di sempadan-sempadan ini.

Kebergeseran jangka pendek bitcoin tidak dapat menjawab soal keselamatan bagi pemegang koin. Lebih bermakna untuk memantau pengumuman susulan peristiwa tersebut serta sama ada persekitaran operasi anda menunjukkan sebarang keanehan.

Pertama, periksa sama ada atribusi boleh bergerak dari “diduga” kepada rantai serangan yang boleh diverifikasi. Titik masuk sebenarnya berada di peranti, rantaian bekalan, proses penggunaan, atau peringkat pengesahan transaksi? Jawapan yang berbeza akan menghasilkan tindakan perlindungan yang berbeza. Menyalahkan semua risiko secara umum kepada satu produk sahaja akan membuat lokasi yang sebenarnya perlu dibaiki terus terdedah.

Kedua, perhatikan sama ada peraturan operasi akan dipaksa untuk disesuaikan. Jika cadangan seterusnya memerlukan pengguna untuk mengesem semula alamat pembayaran, mengasingkan peranti lama dan baharu, atau menghentikan beberapa proses inisialisasi atau pengemaskinian, lingkungan risiko mungkin telah melebihi alamat individu atau pengguna individu. Jika risiko hanya berkaitan dengan beberapa tindakan berisiko tinggi, batasannya harus segera ditentukan untuk mengelakkan kepanikan yang mendorong pengguna biasa ke arah "tindakan kecemasan" yang lebih berbahaya.

Periksa lagi sama ada pemegang币 besar meninggalkan ketergantungan pada satu peranti sahaja. Mekanisme seperti multi-signature, backup berasingan, senarai putih alamat, penundaan transaksi, dan pembelian teragih tidak bernilai kerana membuat proses kelihatan lebih profesional, tetapi kerana kesilapan sekecil apa pun tidak akan segera menjadi kerugian yang tidak boleh dipulihkan. Satu peranti boleh menjadi garis pertahanan penting, tetapi tidak sepatutnya menjadi satu-satunya punca kepercayaan.

Akhir sekali, perhatikan sebarang ketidakteraturan kecil dalam akaun dan persekitaran tanda tangan anda: alamat asing, draf transaksi yang tidak dapat dijelaskan, pemberitahuan peranti yang tiba-tiba, laman web yang meminta anda memasukkan semula maklumat pemulihan, atau arahan yang mendesak pengguna untuk melangkau pengesahan dengan alasan “peningkatan mendesak”.

Momen paling berbahaya dalam insiden keselamatan sering kali bukan pada hari butiran lubang keamanan diumumkan, tetapi ketika pengguna mempercepat tindakan dan memendekkan semakan akibat kecemasan.

Serangan Coldcard gelombang keempat yang diduga melibatkan 389 Bitcoin, pada peringkat ini belum cukup untuk memberikan kesimpulan kuat mengenai sebab teknikal atau tanggungjawab.

Ia sudah cukup memaksa pengguna untuk bertanya soalan lain: Apabila rasa selamat diletakkan pada peranti tertentu atau label jenama, adakah pengguna mengabaikan risiko operasi, maklumat, dan proses yang lebih panjang di sebalik kuasa kawalan aset?

Penyimpanan dingin tidak kedaluwarsa. Ia masih merupakan alat penting untuk mengurangi paparan dalam talian. Namun, ia bukanlah pas laluan bebas daripada pengesahan. Adakah sumber peranti boleh dipercayai, adakah transaksi disemak satu-satu, adakah simpanan cadangan diasingkan, dan adakah kesilapan titik tunggal boleh menelan keseluruhan aset secara langsung—inilah pertahanan yang benar-benar boleh dikendalikan oleh pengguna.

Yang perlu dilihat seterusnya bukan lagi naratif kepanikan, tetapi atribusi serangan yang jelas, penyesuaian operasi yang tepat, serta sama ada proses pengurusan dompet telah memulakan pengesahan berganda dan penundaan transaksi sebagai tindakan lalai. Memiliki kunci peribadi hanyalah langkah pertama; kawalan proses pengesahanlah yang menentukan siapa yang sebenarnya ditandatangani oleh kunci peribadi.