Η κατασκευάστρια του Coldcard δεν επιβεβαιώνει τις απώλειες από την επίθεση των 130 εκατ. δολαρίων

Χάκερ αφαίρεσαν περίπου 1.596 έως 1.816 bitcoin, αξίας μεταξύ 100 και 130 εκατομμυρίων δολαρίων, από περισσότερες από 7.300 διευθύνσεις που συνδέονται με πορτοφόλια υλικού Coldcard, στη μεγαλύτερη επίθεση σε πορτοφόλι υλικού στην ιστορία των κρυπτονομισμάτων. Η επίθεση, η οποία ξεκίνησε στις 30 Ιουλίου, εκμεταλλεύτηκε ένα σφάλμα στο υλικολογισμικό πέντε ετών που αποδυνάμωσε την τυχαιότητα που χρησιμοποιείται για τη δημιουργία φράσεων σποράς, επιτρέποντας στους επιτιθέμενους να παραβιάσουν τα ιδιωτικά κλειδιά χωρίς να αγγίξουν ποτέ τη φυσική συσκευή.crypto+2

Η εταιρεία Coinkite με έδρα το Τορόντο, κατασκευάστρια του Coldcard, αρνήθηκε να επιβεβαιώσει συγκεκριμένα στοιχεία για τις απώλειες σε δήλωσή της στο Bloomberg την Τετάρτη. "Δεν είμαστε σε θέση να επιβεβαιώσουμε ανεξάρτητα τις συνολικές απώλειες ή να επικυρώσουμε τα συγκεκριμένα στοιχεία που αναφέρονται από τρίτους", ανέφερε η εταιρεία.bloomberg

Πώς μια γραμμή κώδικα κατέστρεψε τα πάντα

Η ευπάθεια εντοπίζεται σε μια ενημέρωση υλικολογισμικού του Μαρτίου 2021 που εισήγαγε ένα σφάλμα διαμόρφωσης. Μια μακροεντολή με την ονομασία MICROPY_HW_ENABLE_RNG, ρυθμισμένη στο μηδέν, προκάλεσε την παράκαμψη της αποκλειστικής γεννήτριας τυχαίων αριθμών υλικού της συσκευής από μια υποστηρικτική κρυπτογραφική βιβλιοθήκη, επιστρέφοντας σε ένα προβλέψιμο υποκατάστατο λογισμικού. Το αποτέλεσμα: οι φράσεις σποράς στις συσκευές Mk3 δημιουργήθηκαν με εντροπία περίπου 40 bits αντί για τα προβλεπόμενα 128 bits, μειώνοντας την ασφάλεια από ένα πρακτικά απαραβίαστο κλείδωμα σε ένα που ένας υπολογιστής θα μπορούσε να παραβιάσει μέσα σε λίγα λεπτά.memeburn+1

Η ομάδα ασφαλείας bitcoin της Block ↘ 3.68% δημοσίευσε την πλήρη τεχνική ανάλυση αφού εντόπισε το σφάλμα μαζί με ανώνυμους ανεξάρτητους ερευνητές. Η Galaxy Research παρακολούθησε τέσσερα κύματα επιθέσεων: το πρώτο στις 30 Ιουλίου αφαίρεσε 1.082 BTC από 1.196 διευθύνσεις σε 41 λεπτά, ενώ τα επόμενα κύματα έως τις 4 Αυγούστου έφεραν τις επιβεβαιωμένες απώλειες στα 1.596 BTC, με ένα ύποπτο τέταρτο κύμα να ωθεί δυνητικά το σύνολο στα 2.055 BTC.crypto+2

Τα θύματα έκαναν τα πάντα σωστά

Η πιο σκληρή ειρωνεία της παραβίασης είναι ότι έπληξε τους κατόχους bitcoin που δίνουν τη μεγαλύτερη προσοχή στην ασφάλεια. "Ίσως το πιο δύσκολο κομμάτι σε όλο αυτό είναι ότι έκανα τα πάντα σωστά", έγραψε ο Καναδός επιχειρηματίας Jonathan Goodman στο X, αφού έχασε 18,25 BTC αξίας περίπου 1,6 εκατομμυρίων δολαρίων Καναδά από ένα Coldcard αποθηκευμένο σε θυρίδα ασφαλείας. Ο Tim Lamb, ένας 38χρονος έμπορος του οποίου η φράση σποράς ήταν χαραγμένη σε μια μεταλλική πλάκα κρυμμένη μέσα σε ένα ψεύτικο λεξικό, έχασε δύο bitcoin αξίας περίπου 130.000 δολαρίων ενώ βρισκόταν σε διακοπές.news.bloomberglaw+1

Ο διευθύνων σύμβουλος της Coinkite, Rodolfo Novak, ζήτησε συγγνώμη στο X στις 31 Ιουλίου, γράφοντας: "Γνωρίζουμε ότι μια συγγνώμη δεν επιστρέφει τα χρήματα κανενός. Γνωρίζουμε ότι θα πρέπει να κερδίσουμε ξανά την εμπιστοσύνη των χρηστών μας". Η εταιρεία εξέδωσε επείγον υλικολογισμικό, κατέστρεψε το εναπομείναν ευάλωτο απόθεμα και σταμάτησε τις αποστολές, αλλά προειδοποίησε ότι η επιδιόρθωση δεν αποκαθιστά τις φράσεις σποράς που έχουν ήδη δημιουργηθεί σε παραβιασμένο υλικολογισμικό.crypto+2

Οι επιπτώσεις αναδιαμορφώνουν τη συζήτηση για την αυτοφύλαξη

Η παραβίαση ανέτρεψε μια διετή τάση μεταφοράς bitcoin από τα ανταλλακτήρια. Η CryptoQuant ανέφερε ότι οι μεταφορές κάτω του 1 BTC έφτασαν τα 39.600 BTC στις 31 Ιουλίου, κοντά στα επίπεδα πανικού που παρατηρήθηκαν κατά την κατάρρευση της FTX το 2022. Η Cantor Fitzgerald δήλωσε στους πελάτες της ότι η επίθεση θα μπορούσε να στρέψει τη ζήτηση προς παρόχους διαχειριζόμενης φύλαξης και spot bitcoin ETF, όπως το iShares Bitcoin ↘ 0.29% Trust της BlackRock ↘ 0.54%, κατονομάζοντας την Coinbase ↘ 1.46% και τη Robinhood ↘ 1.25% ως πιθανούς ωφελημένους.thestreet+1

Περίπου το 90 τοις εκατό των κλεμμένων κεφαλαίων παραμένει ακίνητο σε διευθύνσεις που ελέγχονται από τους επιτιθέμενους, αν και οι αναλυτές έχουν εντοπίσει έναν δράστη που άρχισε να διοχετεύει περίπου 64 BTC μέσω του μίκτη CoinJoin του Wasabi Wallet. Η Galaxy Research έχει μοιραστεί περίπου 600 ύποπτες διευθύνσεις επιτιθέμενων με τις ομοσπονδιακές αρχές επιβολής του νόμου των ΗΠΑ και τα ανταλλακτήρια κρυπτονομισμάτων.coinpaper+2