Ztráty po útoku na Coldcard rostou, analytici se neshodnou na celkovém množství ukradených bitcoinů

Téměř dva týdny poté, co útočníci začali odčerpávat bitcoiny z kompromitovaných hardwarových peněženek Coldcard, se vyšetřovatelé blockchainu stále snaží stanovit plný rozsah toho, co analytici označují za nejhorší selhání vlastní úschovy v historii bitcoinu. Odhady celkových ztrát se pohybují zhruba od 100 milionů do 130 milionů dolarů, přičemž konečný součet zůstane pravděpodobně nejistý, protože oběti musí ztráty hlásit samy.

Vyšetřovatelé se v odhadech ztrát rozcházejí

Společnost Galaxy Research, vedená šéfem firemního výzkumu Alexem Thornem, stanovila své vysoce spolehlivé minimum k úterý na 1 730 BTC, s potenciálním stropem blízko 1 816 BTC. Thorn pro Cointelegraph uvedl, že více než 450 BTC bylo přímo potvrzeno prostřednictvím hlášení obětí, což následně pomohlo identifikovat další neznámé oběti, které dohromady držely přes 730 BTC. TRM Labs nezávisle odhadla, že útočníci odčerpali přibližně 1 816 BTC z více než 5 200 adres ve čtyřech vlnách, přičemž globální šéf politiky Ari Redbord varoval, že lze očekávat další nárůst tohoto čísla.tradingview+1

CryptoQuant volí přísnější přístup založený na zveřejněných údajích. Její šéf výzkumu Julio Moreno uvedl, že potvrzený součet platformy činí 1 432 BTC, což označil za spodní hranici. „Protože ukradené bitcoiny patřily jednotlivcům, a nikoli centralizovanému subjektu, jako je burza, můžeme potvrdit pouze to, co každá oběť veřejně oznámí,“ řekl Moreno.crypto-economy+1

Jak chyba fungovala

Zranitelnost pramení ze změny firmwaru v březnu 2021, která způsobila, že generování seedu v Coldcard obcházelo hardwarový generátor náhodných čísel zařízení a nahrazovalo jej předvídatelnou softwarovou funkcí s pouhými 40 bity efektivní entropie namísto zamýšlených 128. Toto snížení učinilo obnovu klíče hrubou silou výpočetně proveditelnou bez fyzického přístupu k zařízení. Nejméně 15 nezávislých útočníků začalo tuto slabinu zneužívat od 30. července a v rychlém sledu vyprázdnilo prostředky z tisíců peněženek s jedním podpisem.forbes+3

Vývojář bitcoinu James O'Beirne uvedl, že na chybný kód náhodnosti upozornil společnost Coinkite v květnu 2025, více než čtrnáct měsíců předtím, než se útok objevil. Podle zprávy Phemex byla odpověď Coinkite taková, že pokud by byl problém skutečný, pravděpodobně by se již projevil.phemex

Následky a reakce odvětví

Společnost Coinkite nasadila 31. července opravený firmware, ale varovala, že aktualizace nemůže zlepšit entropii již vygenerovaných seedů. Postižení uživatelé musí vytvořit zcela nové seedy a prostředky převést. Společnost také 6. a 7. srpna zrušila svou politiku automatického mazání údajů o zákaznících s odkazem na „probíhající a očekávaná právní řízení“, ačkoli žádná žaloba nebyla veřejně podána.etfdb+1

Incident znovu rozdmýchal debatu o vlastní úschově versus institucionálních řešeních. V pořadu Bloomberg Crypto Thorn uvedl, že bitcoin toto narušení „přežije“ a označil jej za selhání výrobce, nikoli za chybu protokolu. River, firma poskytující finanční služby v bitcoinech, tento rozdíl potvrdila: „Zranitelnost Coldcard neovlivňuje bitcoinový protokol ani nic, co souvisí s tím, jak bitcoin funguje.“bloomberg+2

Přesto tato epizoda vedla k přesunu kapitálu směrem k produktům obchodovaným na burze. Spotové bitcoinové ETF zaznamenaly za týden končící 7. srpnem čistý příliv 853 milionů dolarů, což je nejsilnější týdenní údaj od poloviny dubna. Většinu těchto toků zachytil iShares Bitcoin Trust společnosti BlackRock ↗ 1.54%.cryptorank+1

Pro držitele, kteří stále používají postižená zařízení, je vzkaz od výzkumníků jednoznačný: samotná aktualizace firmwaru nestačí. Pouze nově vygenerovaný seed na potvrzeném opraveném firmwaru zabezpečí zbývající prostředky.phemex+1