594 BTC biến mất trong 25 phút. Khoảng 500 ví single-sig đã bị trống rỗng. Các seed của Coldcard được tạo từ tháng 3 năm 2021 trở đi là điểm chung. Nếu bạn tạo seed trên Mk3 với firmware 4.0.1 trở lên, hoặc trên Mk4, Q hoặc Mk5 trước khi có các bản sửa lỗi mới, thiết bị đã bỏ qua tính ngẫu nhiên phần cứng của chính nó. Nó chuyển sang một phương pháp yếu hơn nhiều, gần với 40 bit trên các mẫu cũ hơn. Điều đó không phải là “không thể đoán được.” Đó là có thể tìm kiếm được. Tôi cứ nhìn chằm chằm vào màn hình của Q trong bức ảnh này. Dòng chữ “Đừng tin. Hãy xác minh.” Đó chính là toàn bộ ý nghĩa của Coldcard. Người dùng mua những thiết bị này chính vì họ không bao giờ phải tin vào một bộ sinh số ngẫu nhiên nằm trong một chiếc hộp kín. Họ cách ly hoàn toàn, ghi các từ ra kim loại, không bao giờ gõ seed vào máy tính, và giữ coin đó suốt nhiều năm. Và điều duy nhất họ không thể xác minh — chất lượng độ ngẫu nhiên mà thiết bị tuyên bố tạo ra — đã lặng lẽ thất bại trong năm rưỡi. Đó là phần mà hầu hết các bài viết đang bỏ qua. Đây không phải là một liên kết lừa đảo. Không phải là một sự xâm nhập chuỗi cung ứng. Cũng không phải là người dùng tái sử dụng seed hoặc nhấp vào QR độc hại. Đây là những người đã tuân thủ tiêu chuẩn cao nhất mà cộng đồng đã thúc đẩy trong suốt một thập kỷ. Thiết bị đã thông báo cho họ rằng seed là mạnh mẽ. Mã nguồn mở đã được công khai suốt thời gian đó. Coinkite thậm chí còn chạy AI để phân tích nó vài tuần trước đó, nhưng mô hình đã bỏ lỡ lỗi này. Một người khác chạy AI và đã không bỏ lỡ nó. Bài học thầm lặng ở đây là “mã nguồn mở + cách ly” không còn đủ nếu đứng một mình. Khi AI có thể đọc mọi commit nhanh hơn bất kỳ đội ngũ kiểm tra con người nào, một lỗi cài đặt build đã tồn tại năm năm trở thành một quả bom hẹn giờ. Những người thêm BIP-39 passphrase, tự tạo độ ngẫu nhiên bằng xúc xắc, hoặc dùng multisig trên nhiều thiết bị khác nhau là những người vẫn đang giữ coin của mình. Mọi người còn lại đang học một cách khó khăn rằng “cài đặt xong rồi quên đi” là một ảo tưởng. Nếu seed của bạn có khả năng bị ảnh hưởng, đừng chỉ cập nhật firmware. Việc đó không sửa được seed đã yếu. Hãy tạo một seed hoàn toàn mới trên phiên bản đã được vá, xác minh bản sao lưu, gửi một lượng nhỏ để kiểm tra, rồi mới chuyển toàn bộ số còn lại. Từ từ. Cẩn thận. Việc này gây đau lòng vì nó ảnh hưởng đến những người tin vào bitcoin và đã làm mọi thứ đúng. Chính vì vậy mà nó mới quan trọng.