Ο CZ συνιστά διαφοροποίηση πορτοφολιών μετά από κλοπή 70 εκατ. δολαρίων από την Coldcard

Ο ιδρυτής της Binance, Changpeng Zhao, κάλεσε τους κατόχους κρυπτονομισμάτων να διασπείρουν τα κεφάλαιά τους σε πολλαπλά πορτοφόλια, αφού ένα σφάλμα στο λογισμικό των φυσικών πορτοφολιών της Coldcard επέτρεψε σε εισβολέα να αδειάσει περίπου 70 εκατομμύρια δολάρια σε Bitcoin μέσα σε διάστημα περίπου 40 λεπτών.

«Ακόμη και τα φυσικά πορτοφόλια μπορούν να έχουν σφάλματα. Ακόμη και τα παλιά πορτοφόλια (με μεγάλη ιστορία) μπορούν να έχουν σφάλματα», έγραψε ο Zhao στο X το Σάββατο. «Πώς μετριάζεται αυτό; Μήπως να χωρίσετε τα κεφάλαιά σας σε μερικά πορτοφόλια; Αυτό συνεπάγεται διαφορετικό σύνολο κινδύνων. Τίποτα δεν είναι 100%. Μείνετε ενημερωμένοι. Μείνετε ασφαλείς (Stay SAFU)!»cryptonews+1

Η επίθεση

Η κλοπή ξεκίνησε στις 30 Ιουλίου, όταν ένας εισβολέας εκμεταλλεύτηκε ένα σφάλμα στον τρόπο με τον οποίο ορισμένα μοντέλα της Coldcard δημιουργούσαν τα κρυπτογραφικά τους κλειδιά. Η αρχική ανάλυση εντός αλυσίδας (on-chain) εντόπισε περίπου 594 bitcoin, αξίας περίπου 38 εκατομμυρίων δολαρίων, που αφαιρέθηκαν από περίπου 500 πορτοφόλια μέσα σε χρονικό παράθυρο 25 λεπτών, σύμφωνα με το CoinDesk. Μεταγενέστερη έρευνα της Galaxy Digital διεύρυνε το εύρος στα 1.082 bitcoin, αξίας περίπου 70 εκατομμυρίων δολαρίων, που αφαιρέθηκαν από 1.196 διευθύνσεις μέσα σε περίπου 41 λεπτά.coindesk+2

Το ευάλωτο σημείο εντοπίστηκε στην έκδοση λογισμικού 4.0.1, που κυκλοφόρησε τον Μάρτιο του 2021, η οποία προκαλούσε τη μετάπτωση της δημιουργίας seed σε μια αδύναμη λογισμική γεννήτρια ψευδοτυχαίων αριθμών αντί για την πραγματική γεννήτρια τυχαίων αριθμών του υλισμικού. Αυτό κατέστησε τα ιδιωτικά κλειδιά για πορτοφόλια μονής υπογραφής (single-signature) αρκούντως προβλέψιμα ώστε ο εισβολέας να τα ανακατασκευάσει εκτός σύνδεσης, σύμφωνα με το Bitcoin Magazine. Πολλά από τα επηρεαζόμενα πορτοφόλια ήταν αδρανή για χρόνια.bitcoinmagazine+1

Η αντίδραση της Coinkite

Η εταιρεία κατασκευής της Coldcard, Coinkite, αρχικά ανέφερε ότι το σφάλμα επηρέαζε τις συσκευές Mk3, αλλά αργότερα παραδέχθηκε ότι όλα τα μοντέλα ήταν ευάλωτα αφού εμφανίστηκαν επιπλέον κλοπές, σύμφωνα με το Forbes. Η εταιρεία κυκλοφόρησε επείγουσες ενημερώσεις λογισμικού και συμβούλευσε τους επηρεαζόμενους χρήστες να δημιουργήσουν εντελώς νέα seeds σε διορθωμένες συσκευές και να μεταφέρουν προσεκτικά τα κεφάλαιά τους.forbes

«Η ενημέρωση του λογισμικού δεν διορθώνει ένα seed που δημιουργήθηκε από επηρεαζόμενο λογισμικό», έγραψε η Coinkite. «Πρέπει να δημιουργηθεί ένα νέο seed και τα κεφάλαια να μεταφερθούν στο νέο πορτοφόλι».forbes

Μηχανικοί της Block, της εταιρείας πληρωμών που ιδρύθηκε από τον Jack Dorsey, δήλωσαν ότι διαπίστωσαν πως ο εισβολέας πιθανότατα χρησιμοποίησε έναν επί πληρωμή λογαριασμό σε πάροχο υπηρεσιών blockchain για να αναζητήσει τις διευθύνσεις-στόχους κατά τη διάρκεια των εκκαθαρίσεων.bitcoinmagazine

Ευρύτερες επιπτώσεις

Το περιστατικό αναζωπύρωσε τη συζήτηση σχετικά με τα όρια της αυτο-θεσμοφυλακής (self-custody) στα κρυπτονομίσματα. Τα φυσικά πορτοφόλια θεωρούνται ευρέως από τις ισχυρότερες επιλογές για την εκτός σύνδεσης ασφάλιση ψηφιακών στοιχείων ενεργητικού, ωστόσο η περίπτωση της Coldcard αποδεικνύει ότι ακόμη και συσκευές με μακρά παρουσία μπορούν να κρύβουν ανεντόπιστα σφάλματα για χρόνια. Η έκκληση του Zhao για διαφοροποίηση αναγνωρίζει τον συμβιβασμό: ο διαχωρισμός των κεφαλαίων μειώνει τον κίνδυνο μοναδικού σημείου αποτυχίας, αλλά εισάγει πιο σύνθετη διαχείριση κλειδιών.tradersunion+1

Ο ερευνητικός βραχίονας της Galaxy Digital συμβούλευσε τους κατόχους Bitcoin να μεταφέρουν τα κεφάλαια από διευθύνσεις Coldcard μονής υπογραφής σε πιο ασφαλείς ρυθμίσεις φύλαξης.bitcoinmagazine