🎤 Cuộc khai thác im lặng 40 triệu USD: Bên trong lỗ hổng entropy của Coldcard: Một lỗ hổng bảo mật nghiêm trọng trên ví phần cứng Coldcard đã dẫn đến vụ khai thác lớn 40 triệu USD, ảnh hưởng đến gần năm trăm ví. Trong chưa đầy ba mươi phút, một kẻ tấn công chủ động đã rút thành công 594 bitcoin từ các ví single-signature mục tiêu trên ba khối hợp lệ liên tiếp. Các nhà nghiên cứu bảo mật phát hiện nguyên nhân gốc rễ là entropy yếu trong quá trình tạo cụm từ hạt giống, do phần mềm lỗi được phát hành vào tháng 3 năm 2021. Thay vì sử dụng ngẫu nhiên phần cứng thực sự, các thiết bị dễ bị tổn thương phụ thuộc vào dữ liệu hệ thống có thể dự đoán được như thời gian đồng hồ nội bộ và số seri thiết bị. Lỗ hổng nguy hiểm này làm giảm sức mạnh khóa mã hóa từ mức bảo mật tiêu chuẩn 128-bit xuống còn 40 đến 72 bit có thể đoán được. Với không gian khóa bị thu hẹp, các tin tặc tinh vi đã sử dụng sức mạnh tính toán để bẻ khóa cụm từ hạt giống phục hồi và đánh cắp hàng triệu đô la tiền điện tử chưa từng bị chạm đến. Nhà sản xuất thiết bị Coinkite xác nhận lỗ hổng này ảnh hưởng đến các thiết bị Mk3 và khuyến nghị tất cả người dùng chuyển tiền sang các cụm từ hạt giống mới ngay lập tức. Việc cập nhật phần mềm riêng lẻ sẽ không bảo vệ các ví đã bị xâm phạm vì các khóa được tạo ra vẫn mang bản chất lỗi và dễ bị đánh cắp. Các chuyên gia bảo mật mạnh mẽ khuyến nghị chuyển tài sản vào các thiết lập multi-signature hoặc tạo hoàn toàn mới cụm từ hạt giống ví trên các thiết bị đã được vá và an toàn. Vụ khai thác tàn phá này chứng minh rằng lưu trữ lạnh ngoại tuyến chỉ an toàn đến mức mã phần mềm nền tảng tạo ra khóa riêng của bạn.