Výrobce peněženek Coldcard odmítá potvrdit ztráty z útoku za 130 milionů dolarů

Hackeři odčerpali odhadem 1 596 až 1 816 bitcoinů v hodnotě mezi 100 a 130 miliony dolarů z více než 7 300 adres spojených s hardwarovými peněženkami Coldcard. Jde o největší zneužití hardwarové peněženky v historii kryptoměn. Útok, který začal 30. července, využil pět let starou chybu ve firmwaru, která oslabila náhodnost používanou k vytváření seed frází peněženky. To útočníkům umožnilo hrubou silou prolomit soukromé klíče, aniž by se kdy dotkli fyzického zařízení.crypto+2

Společnost Coinkite se sídlem v Torontu, výrobce Coldcard, ve středečním prohlášení pro Bloomberg odmítla potvrdit konkrétní údaje o ztrátách. „Nejsme v pozici, abychom nezávisle potvrdili celkové ztráty nebo ověřili konkrétní čísla, která uvádějí třetí strany,“ uvedla společnost.bloomberg

Jak jeden řádek kódu všechno zničil

Zranitelnost pramení z aktualizace firmwaru z března 2021, která zavedla chybu v konfiguraci sestavení. Makro s názvem MICROPY_HW_ENABLE_RNG, nastavené na nulu, způsobilo, že podpůrná kryptografická knihovna obešla dedikovaný hardwarový generátor náhodných čísel zařízení a přešla na předvídatelnou softwarovou náhradu. Výsledek: seed fráze na zařízeních Mk3 byly generovány s entropií zhruba 40 bitů místo zamýšlených 128 bitů, což snížilo zabezpečení z prakticky neprolomitelného zámku na úroveň, kterou počítač dokáže prolomit hrubou silou během několika minut.memeburn+1

Bezpečnostní tým pro bitcoin společnosti Block ↘ 6.15% zveřejnil úplný technický rozbor poté, co chybu vystopoval společně s anonymními nezávislými výzkumníky. Galaxy Research sledovala čtyři vlny útoků: první z 30. července vysála 1 082 BTC z 1 196 adres během 41 minut; následné vlny do 4. srpna zvýšily potvrzené ztráty na 1 596 BTC, přičemž podezřelá čtvrtá vlna by mohla celkový počet posunout až na 2 055 BTC.crypto+2

Oběti dělaly vše správně

Nejkrutější ironií tohoto narušení je, že zasáhlo držitele bitcoinu, kteří se nejvíce zajímají o bezpečnost. „Možná nejtěžší na tom je, že jsem dělal všechno správně,“ napsal kanadský podnikatel Jonathan Goodman na síti X poté, co ztratil 18,25 BTC v hodnotě přibližně 1,6 milionu kanadských dolarů z peněženky Coldcard uložené v bezpečnostní schránce. Tim Lamb, osmatřicetiletý marketér, jehož seed byl vyražen na kovové destičce ukryté uvnitř falešného slovníku, přišel během dovolené o dva bitcoiny v hodnotě kolem 130 000 dolarů.news.bloomberglaw+1

Generální ředitel Coinkite Rodolfo Novak se 31. července na síti X omluvil: „Víme, že omluva nikomu nevrátí jeho prostředky. Víme, že si důvěru našich uživatelů budeme muset znovu zasloužit.“ Společnost vydala nouzový firmware, zničila zbývající zranitelné zásoby a zastavila expedici, ale varovala, že oprava neopraví seed fráze, které již byly vygenerovány na kompromitovaném firmwaru.crypto+2

Následky mění debatu o vlastní úschově

Narušení zvrátilo dvouletý trend odlivu bitcoinů z burz. Společnost CryptoQuant uvedla, že převody pod 1 BTC dosáhly 31. července 39 600 BTC, což je blízko úrovním paniky pozorovaným při kolapsu FTX v roce 2022. Cantor Fitzgerald klientům sdělil, že hack by mohl nasměrovat poptávku směrem k poskytovatelům správy aktiv a spotovým bitcoinovým ETF, jako je iShares Bitcoin Trust společnosti BlackRock ↘ 0.38%, přičemž mezi potenciálními příjemci zmínil Coinbase ↘ 2.99% a Robinhood ↘ 2.25%.thestreet+1

Zhruba 90 procent ukradených prostředků zůstává nepohnutých na adresách kontrolovaných útočníky, ačkoliv analytici identifikovali jednoho aktéra, který začal směrovat přibližně 64 BTC přes mixér CoinJoin v peněžence Wasabi. Galaxy Research sdílela přibližně 600 podezřelých adres útočníků s federálními orgány činnými v trestním řízení v USA a s kryptoměnovými burzami.coinpaper+2