CZ vyzývá k diverzifikaci peněženek po útoku na Coldcard za 70 milionů dolarů

Zakladatel burzy Binance Changpeng Zhao vyzval držitele kryptoměn, aby své prostředky rozložili do několika různých peněženek. Učinil tak poté, co chyba ve firmwaru hardwarových peněženek Coldcard umožnila útočníkovi během zhruba 40 minut vysát bitcoin v hodnotě přibližně 70 milionů dolarů.

„I hardwarové peněženky mohou mít chyby. I staré peněženky (s dlouhou historií) mohou mít chyby,“ napsal Zhao v sobotu na síti X. „Jak tomu předejít? Možná rozdělit prostředky do několika peněženek? To ale přináší jinou sadu rizik. Nic není stoprocentní. Buďte informovaní. Zůstaňte v bezpečí!“cryptonews+1

Útok

Krádež začala 30. července, kdy útočník zneužil chybu v způsobu, jakým některé modely Coldcard generovaly kryptografické klíče. Původní on-chain analýza podle serveru CoinDesk identifikovala přibližně 594 bitcoinů (asi 38 milionů dolarů) vybraných zhruba z 500 peněženek během 25 minut. Následný výzkum společnosti Galaxy Digital rozsah rozšířil na 1 082 bitcoinů v hodnotě přibližně 70 milionů dolarů, které byly odcizeny z 1 196 adres během zhruba 41 minut.coindesk+2

Zranitelnost sahala až k verzi firmwaru 4.0.1 z března 2021. Ta způsobila, že generování seedu přešlo na slabý softwarový generátor pseudonáhodných čísel namísto skutečného hardwarového generátoru náhodných čísel. Podle časopisu Bitcoin Magazine tak byly privátní klíče pro peněženky s jedním podpisem dostatečně předvídatelné, aby je útočník dokázal rekonstruovat offline. Mnohé z dotčených peněženek byly roky neaktivní.bitcoinmagazine+1

Reakce společnosti Coinkite

Výrobce peněženek Coldcard, společnost Coinkite, původně uváděl, že chyba postihuje zařízení typu Mk3. Jakmile se však podle časopisu Forbes objevily další krádeže, firma přiznala, že zranitelné byly všechny modely. Společnost vydala nouzové aktualizace firmwaru a doporučila všem dotčeným uživatelům vygenerovat na opravených zařízeních zcela nové seed fráze a své prostředky opatrně převést.forbes

„Aktualizace firmwaru neopraví seed, který byl vygenerován dotčeným firmwarem,“ uvedla společnost Coinkite. „Je nutné vygenerovat nový seed a přenést prostředky do nové peněženky.“forbes

Inženýři z platební společnosti Block, kterou založil Jack Dorsey, uvedli, že útočník během vybírání adres pravděpodobně použil placený účet u poskytovatele blockchainových služeb pro dotazování na cílové adresy.bitcoinmagazine

Širší důsledky

Tato událost znovu rozproudila debatu o limitech vlastní správy kryptoměn (self-custody). Hardwarové peněženky jsou považovány za jednu z nejbezpečnějších možností zabezpečení digitálních aktiv offline, nicméně případ Coldcard ukazuje, že i dlouho zavedená zařízení mohou celé roky obsahovat neodhalené chyby. Zhaova výzva k diverzifikaci poukazuje na kompromis: rozdělení prostředků snižuje riziko jediného bodu selhání, ale přináší složitější správu klíčů.tradersunion+1

Výzkumná divize společnosti Galaxy Digital doporučila držitelům bitcoinu převést prostředky z adres Coldcard s jedním podpisem do bezpečnějších forem úschovy.bitcoinmagazine