Coinkite, công ty Canada đứng sau ví phần cứng Coldcard, đã cảnh báo người dùng rằng tiền bitcoin có thể gặp rủi ro nếu seed ví của họ được tạo trên các phiên bản firmware bị ảnh hưởng nhất định.
Công ty cho biết vấn đề này ảnh hưởng đến mọi phiên bản phần mềm Mk3 kể từ phiên bản 4.0.1, được phát hành vào tháng 3 năm 2021, và liên quan đến độ ngẫu nhiên do thiết bị tạo ra khi tạo seed.
Tiền vẫn đang gặp rủi ro
Các seed được tạo trên Mk4 và Mk5 trước phiên bản firmware 5.6.0, và trên Q trước phiên bản 1.5.0Q, cũng bị ảnh hưởng, mặc dù Coinkite said tác động lên các mô hình này ít nghiêm trọng hơn nhưng vẫn đáng kể. Theo công ty, các seed bị ảnh hưởng có khoảng 72 bit entropy thay vì 128 bit như mong đợi. Theo bản cập nhật, TAPSIGNER, OPENDIME và SATSCARD không bị ảnh hưởng vì chúng sử dụng các mã nguồn khác nhau.
Coinkite khuyến nghị người dùng có tài sản bị ảnh hưởng chuyển quỹ của họ sang một seed mới được tạo trên thiết bị không bị ảnh hưởng. Công ty cho biết người dùng Mk4 và Mk5 nên cập nhật lên phiên bản firmware 5.6.0 trở lên, trong khi người dùng Q nên cài đặt phiên bản 1.5.0Q trở lên trước khi tạo seed thay thế.
Người dùng cũng được khuyến nghị sao lưu và xác minh seed mới, xác nhận địa chỉ nhận mới trên thiết bị và gửi một giao dịch thử nghiệm nhỏ trước khi chuyển số tiền còn lại. Nếu Mk3 là lựa chọn duy khả dụng, nó đề xuất tạm thời sử dụng một mật khẩu BIP-39 mạnh và duy nhất, đồng thời kiểm tra cẩn thận vân tay ví và địa chỉ nhận.
Đánh cắp quy mô lớn
Lời cảnh báo được đưa ra sau khi nhiều báo cáo xuất hiện vào ngày 30 tháng 7 cho biết bitcoin đã bị rút khỏi các ví Coldcard. Atlas21 báo cáo rằng một hoạt động tự động swept 500 địa chỉ chữ ký đơn lẻ trong bốn khối liên tiếp, từ 960188 đến 960191. Các giao dịch đã chuyển 1.324 UTXO với tổng cộng 594,5 BTC, tương đương khoảng 38 triệu USD theo giá hiện tại. Bằng chứng cho thấy các khóa riêng tư yếu được tạo ra khi các ví được khởi tạo.
Không có ví multisig hoặc Taproot were trong số các nạn nhân.
Mức tổn thất trung bình là 0,41 BTC, trong khi 110 nạn nhân mất nhiều hơn một bitcoin. Mức tổn thất lớn nhất là 29,9 đơn vị tài sản tiền điện tử, trong khi chi phí hoạt động khoảng 0,044 đơn vị phí giao dịch. Atlas21 cho biết cảnh báo công khai đầu tiên đến từ một nạn nhân trên Reddit, người cho biết Coldcard của họ đã tạo ra cụm từ hạt giống 24 từ vào năm 2021 và cụm từ hạt giống này chưa bao giờ được nhập vào máy tính.
Mặc dù có sự rút tiền lớn, giá bitcoin vẫn không bị ảnh hưởng khi tiếp tục giao dịch gần mức 64.000 USD.
Bài viết Người dùng Coldcard Mk3 được cảnh báo về rủi ro sau khi 594 BTC bị rút từ 500 địa chỉ xuất hiện đầu tiên trên CryptoPotato.