Các nhà phát triển của ví Coldcard đang kêu gọi người dùng khẩn trương chuyển bitcoin của họ, xác nhận vào thứ Ba rằng lỗ hổng — đã làm cạn kiệt tới 114 triệu USD từ các ví tự quản lý — vẫn đang tiếp diễn.
Hãy xử lý việc này khẩn cấp. Di chuyển số tiền của bạn,” công ty viết, đồng thời cho biết mối đe dọa đang hoạt động và yêu cầu người dùng cảnh báo những chủ sở hữu “ít trực tuyến” có thể chưa nhìn thấy cảnh báo này. Những ví này dễ bị tổn thương nhất, vì việc khắc phục phải được thực hiện thủ công.
Vui lòng xử lý khẩn cấp. Di chuyển số dư của bạn. Làm theo hướng dẫn dành cho mô hình của bạn, nâng cấp thiết bị, tạo seed mới, và di chuyển số dư một cách cẩn thận.
Hãy giúp lan tỏa thông tin này, đặc biệt đến những người ít trực tuyến và có thể không thấy bản cập nhật này.
Mối đe dọa vẫn đang tiếp diễn. https://t.co/cbJxJles8x
Cảnh báo này không mang tính phòng ngừa. CoinDesk đã báo cáo vào thứ Hai rằng một làn sóng quét thứ tư có thể đã diễn ra trong ngày, lấy đi khoảng 449 BTC từ 709 địa chỉ theo số liệu điều chỉnh của Galaxy Research và làm tăng tổng tổn thất từ khoảng 89 triệu USD lên tới 114 triệu USD.
Lỗ hổng này bắt nguồn từ phần mềm firmware đã nằm im từ năm 2021, như CoinDesk viết vào thứ Sáu, nghĩa là những ví mà một khóa duy nhất kiểm soát số tiền mà không cần xác nhận thứ hai vẫn đang gặp rủi ro cho đến khi chủ sở hữu hành động.
Do đó, rủi ro chỉ giới hạn ở các thiết bị và firmware cụ thể. Những chủ sở hữu của Mk3, mẫu năm 2019 của Coldcard, nên chuyển khoản của họ ngay bây giờ nếu ví được thiết lập trên firmware 4.0.1 hoặc mới hơn.
Coinkite đã cho biết ngoại lệ là những người đã sử dụng tính năng xúc xắc của thiết bị, nơi người dùng lăn xúc xắc ít nhất 50 lần và nhập kết quả, và ví sẽ tạo khóa từ những con số đó thay vì tự sinh ra. Những ví này chưa bao giờ tiếp xúc với mã lỗi và an toàn. Những người sở hữu Mk4, Mk5 và Q với phiên bản firmware dưới 5.6.0 hoặc 1.5.0Q nên cập nhật, tạo ví mới, sau đó chuyển số coin của họ sang.
Một seed là khóa chính điều khiển số coin trong ví, vì vậy một seed được tạo với độ ngẫu nhiên quá thấp có thể bị đoán và tái tạo bởi kẻ tấn công, từ đó có thể rút hết số coin trong ví mà không cần chạm vào thiết bị.
“Mỗi ví cuối cùng đều dựa vào một bí mật gốc được tạo ra từ độ ngẫu nhiên chất lượng cao,” Bouzon cho biết trong một email gửi đến CoinDesk, đồng thời bổ sung rằng việc tạo ra độ ngẫu nhiên đó “phải được gắn kết với phần cứng an toàn, với kiến trúc không thể lặng lẽ hạ cấp xuống nguồn dựa trên phần mềm không đáng tin cậy.”
Anh ấy cho biết các lựa chọn thay thế còn tệ hơn, gọi ví phần mềm trên phần cứng không an toàn là nguy hiểm hơn nữa và nói rằng việc giao tiền cho một sàn giao dịch tập trung “không phải là sở hữu, mà là một lời hứa trả nợ.”
Bitcoin giao dịch gần mức 63.800 USD vào đầu giờ Mỹ vào thứ Ba, ít biến động sau cảnh báo ví, theo dữ liệu từ CoinDesk.