CZ kehottaa hajauttamaan lompakoita Coldcardin 70 miljoonan dollarin kaappauksen jälkeen

Binancen perustaja Changpeng Zhao kehotti kryptovarojen haltijoita hajauttamaan varansa useisiin eri lompakoihin sen jälkeen, kun Coldcard-laitelompakoiden laiteohjelmistovirhe mahdollisti hyökkääjän tyhjentää noin 70 miljoonan dollarin arvosta Bitcoinia noin 40 minuutin aikana.

"Jopa laitelompakoissa voi olla virheitä. Jopa vanhoissa lompakoissa (joilla on pitkä historia) voi olla virheitä", Zhao kirjoitti X-palvelussa lauantaina. "Miten riskiä voi pienentää? Ehkä hajauttamalla varat muutamaan lompakkoon? Siinä on omat riskinsä. Mikään ei ole 100-prosenttista. Pysy ajan tasalla. Pysy turvassa!"cryptonews+1

Hyökkäys

Varkaus alkoi 30. heinäkuuta, kun hyökkääjä hyödynsi virhettä siinä, miten tietyt Coldcard-mallit loivat kryptografisia avaimiaan. Ensimmäinen lohkoketjuanalyysi tunnisti noin 594 bitcoinia, eli noin 38 miljoonaa dollaria, jotka vietiin noin 500 lompakosta 25 minuutin aikana CoinDeskin mukaan. Galaxy Digitalin jatkotutkimus laajensi määrän 1 082 mehto-bitcoinhiin, joiden arvo oli noin 70 miljoonaa dollaria ja jotka vietiin 1 196 osoitteesta noin 41 minuutin kuluessa.coindesk+2

Haavoittuvuus liittyi maaliskuussa 2021 julkaistuun laiteohjelmistoversioon 4.0.1, joka sai avainsanan luonnin tukeutumaan heikkoon ohjelmistopohjaiseen satunnaislukugeneraattoriin laitteiston todellisen satunnaislukugeneraattorin sijaan. Tämä teki yksinkertaisen allekirjoituksen lompakoiden salaisista avaimista riittävän helposti ennustettavia, jotta hyökkääjä pystyi muodostamaan ne uudelleen verkon ulkopuolella Bitcoin Magazinen mukaan. Monet haavoittuvuudesta kärsineistä lompakoista olivat olleet käyttämättä vuosia.bitcoinmagazine+1

Coinkiten vastaus

Coldcardin valmistaja Coinkite ilmoitti aluksi virheen koskevan Mk3-laitteita, mutta myönsi myöhemmin kaikkien mallien olevan haavoittuvia lisävarkauksien tultua ilmi Forbesin mukaan. Yhtiö julkaisi hätäpäivityksen laiteohjelmistolle ja neuvoi kärsineitä käyttäjiä luomaan täysin uudet muistilauseet korjatuilla laitteilla ja siirtämään varat huolellisesti.forbes

"Laiteohjelmiston päivittäminen ei korjaa muistilausetta, joka on luotu viallisella laiteohjelmistolla", Coinkite kirjoitti. "Uusi muistilause on luotava ja varat on siirrettävä uuteen lompakkoon."forbes

Jack Dorseyn perustaman maksuyhtiö Blockin insinöörit sanoivat tunnistaneensa, että hyökkääjä käytti todennäköisesti lohkoketjupalveluntarjoajan maksullista tiliä kyselyiden tekemiseen kohdeosoitteisiin tyhjennyksen aikana.bitcoinmagazine

Laajemmat vaikutukset

Tapaus on herättänyt uudelleen keskustelun itse-custodyn eli omaehtoisen säilytyksen rajoista kryptovaluutoissa. Laitelompakoita pidetään yleisesti yhtenä vahvimmista vaihtoehdoista digitaalisten varojen suojaamiseen verkon ulkopuolella, mutta Coldcard-tapaus osoittaa, että jopa pitkään käytössä olleissa laitteissa voi olla huomaamattomia virheitä vuosia. Zhaon kehotus hajauttamiseen tunnustaa kompromissin: varojen jakaminen pienentää yhden kriittisen pisteen riskiä, mutta tekee avainten hallinnasta monimutkaisempaa.tradersunion+1

Galaxy Digitalin tutkimusosasto kehotti Bitcoinin haltijoita siirtämään varat pois yhden allekirjoituksen Coldcard-osoitteista turvallisempiin säilytysjärjestelyihin.bitcoinmagazine