Kẻ tấn công rút 116 triệu USD bitcoin từ các địa chỉ Coldcard

Một kẻ tấn công đã di chuyển khoảng 1.816 bitcoin, tương đương khoảng 116 triệu USD, từ hơn 5.200 địa chỉ được tạo trên các thiết bị Coldcard kể từ ngày 30 tháng Bảy. Galaxy Research ghi nhận đợt chuyển lớn nhất là 1.082 bitcoin từ 1.196 ví trong vòng 41 phút. Phiên bản firmware 4.0.0 của Coldcard, được phát hành vào tháng 3 năm 2021, có một thiết lập xây dựng khiến thiết bị bỏ qua chip ngẫu nhiên phần cứng chuyên dụng. Giám đốc điều hành Coinkite, Rodolfo Novak, kêu gọi những người đã tạo seed bằng ví Coldcard chuyển tiền theo các thực hành tốt nhất đã được cập nhật. Những chủ sở hữu tạo seed bằng ít nhất 50 lần lăn xúc xắc riêng tư, hoặc sử dụng mật khẩu mạnh, không bị ảnh hưởng.

Tại sao điều này quan trọng: Sự thất bại về entropy của ví có thể biến việc tự lưu trữ ngoại tuyến thành việc phơi bày khóa ẩn và có thể làm suy yếu niềm tin vào bảo mật của ví phần cứng.

Cẩn trọng giảm điểm, căng thẳng, do công nghệ thúc đẩy, giảm rủi ro.

Lý do: Việc báo cáo về việc rút tiền từ các địa chỉ được tạo bởi Coldcard có thể làm suy yếu niềm tin vào bảo mật phần cứng tự lưu trữ.

Trust Wallet đã khắc phục lỗ hổng WebAssembly trong phần mở rộng trình duyệt sau khi sự cố gây ra tổn thất 170.000 USD cho người dùng, theo The Block. Vụ việc cho thấy cách việc tạo seed yếu có thể khiến ví bị lộ thông tin ngay cả khi không có hành vi lừa đảo hoặc đánh cắp thiết bị. (The Block) Sự khác biệt chính là vụ việc Trust Wallet liên quan đến phần mềm phần mở rộng trình duyệt, trong khi sự kiện hiện tại liên quan đến việc tạo seed của ví phần cứng Coldcard.

Những nghi ngờ về Entropy có thể khiến người dùng rời bỏ hình thức quản lý trên một thiết bị duy nhất và chuyển sang các hệ thống có nhiều kiểm soát vận hành hơn. Nhu cầu về quản lý tài sản có thể tăng lên nếu các chủ sở hữu lớn kết luận rằng việc cô lập phần cứng một mình không kiểm soát được rủi ro thực thi ẩn. Nếu Coinkite công bố bản đánh giá kỹ thuật và hướng dẫn di chuyển của mình, thì việc kiểm soát có thể phụ thuộc vào việc người dùng có nhanh chóng thay đổi các seed dễ bị tổn thương hay không.

Cơ hội: Khi Coinkite công bố bản đánh giá kỹ thuật, một ranh giới lỗi rõ ràng có thể trở thành tín hiệu khôi phục niềm tin cho người dùng ví phần cứng. Nếu hướng dẫn di chuyển bị hạn chế, thì các nhà cung cấp tự lưu trữ có các biện pháp kiểm soát entropy mạnh mẽ hơn có thể giành được niềm tin của người dùng.

Rủi ro: Nếu các đợt tiếp theo làm cạn kiệt các địa chỉ được tạo bởi Coldcard, thì việc giảm tiếp xúc với thiết bị đơn lẻ có thể hạn chế rủi ro vận hành. Nếu đánh giá kỹ thuật cho thấy mức độ tiếp xúc rộng hơn trong việc tạo seed, thì rủi ro lưu ký có thể vẫn ở mức cao đối với người dùng bị ảnh hưởng.