🔐 KERENTANAN: ⚠️ Kegagalan pada Coldcard membolehkan pencurian 594 BTC daripada hardware wallet Sebuah kerentanan keselamatan pada beberapa hardware wallet Coldcard membolehkan penyerang mengosongkan 594 bitcoin: native, bernilai sekitar $38 juta, daripada sekitar 500 dompet dalam tempoh hanya 25 minit. Masalah ini bermula daripada firmware 4.0.0, yang dilancarkan pada Mac 2021. Menurut dapatan keselamatan, beberapa peranti yang terjejas, terutamanya model Mk3 dengan versi firmware selepas itu, gagal menggunakan penghasilan kerawangan berdasarkan peranti semasa mencipta benih pemulihan. Sebaliknya, peranti tersebut boleh bergantung kepada proses penghasilan kunci berdasarkan perisian dengan data bukan rahsia daripada cip. Ini mengurangkan entropi benih secara ketara dan boleh membolehkan penyerang membina semula kunci peribadi dari jauh tanpa memerlukan akses fizikal kepada peranti. Penyerang menumpukan kepada dompet tanda tangan tunggal (single-signature), termasuk beberapa alamat yang tidak bergerak selama bertahun-tahun, dan menyelesaikan proses pengosongan dalam beberapa minit sebelum menggabungkan sebahagian besar bitcoin yang dicuri ke satu alamat sahaja. Coinkite, syarikat di sebalik Coldcard, mengeluarkan amaran keselamatan dan menyarankan pengguna yang menghasilkan benih mereka pada peranti yang terjejas untuk memindahkan dana mereka ke dompet baharu yang dicipta dengan firmware yang dikemaskini. Syarikat tersebut juga menunjukkan bahawa penggunaan data tambahan atau passphrase yang kuat semasa pengaturan awal boleh mengurangkan eksposur. Insiden ini menegaskan prinsip utama keselamatan dalam hardware wallet: jika penghasilan benih gagal, sekalipun perlindungan paling canggih akan kehilangan sebahagian besar keberkesanannya.