⚠️ Pengguna Coldcard kehilangan jutaan selepas kelemahan firmware 2021 Salah satu insiden keselamatan penyimpanan sendiri paling signifikan yang melibatkan bitcoin telah memperlihatkan pelajaran penting: dompet keras bergantung pada keselamatan proses penghasilan seed sebagai yang utama. Kerentanan Coldcard yang berkaitan dengan versi firmware yang dirilis pada 2021 membolehkan penyerang mengosongkan ratusan dompet tanpa akses fizikal, phishing, atau malware. Laporan menganggarkan bahawa antara 594 BTC hingga lebih daripada 1,082 bitcoin: native mungkin telah dicuri, mewakili kehilangan berpotensi sebanyak $38 juta hingga $70 juta. Serangan berlaku dalam jangka masa singkat sekitar 25 hingga 40 minit, menargetkan dompet yang seed-nya dihasilkan semasa tempoh firmware yang rentan. Banyak alamat yang terjejas tetap tidak aktif selama bertahun-tahun, dengan dana disimpan sejak seed yang terjejas dihasilkan. Menurut analisis di rantai, penyerang kelihatan memprioritaskan dompet bernilai tinggi terlebih dahulu, termasuk satu yang mengandungi kira-kira $1.8 juta. Operasi kemudian meluas kepada penyapuan automatik alamat rentan tambahan, menunjukkan pengenalan sebelumnya terhadap dompet yang terjejas. Penyebab utama berkaitan dengan entropi yang tidak mencukupi semasa penghasilan seed pada beberapa model Coldcard, terutamanya peranti Mk3 yang menggunakan versi firmware yang terjejas. Alih-alih bergantung secara betul pada kerawakan berdasarkan peranti, proses tersebut boleh menghasilkan seed yang boleh diramalkan, membolehkan kunci peribadi dibina semula dari jauh. Coinkite menasihatkan pengguna yang berpotensi terjejas untuk memindahkan dana ke dompet baharu yang dihasilkan dengan firmware yang dikemaskini. Insiden ini memperkuat prinsip keselamatan asas: jika penghasilan seed gagal, perlindungan kuat seperti reka bentuk air-gapped dan peranti selamat tidak boleh melindungi dana pengguna sepenuhnya.