Tap á Coldcard-hakki eykst: sérfræðingar ósammála um heildarupphæð stolinna Bitcoin

Tæpum tveimur vikum eftir að árásaraðilar byrjuðu að tæma Bitcoin ↘ 0.29% úr vörðum Coldcard-veskjum, vinna blockchain-rannsakendur enn að því að ákvarða umfang þess sem sérfræðingar kalla versta bilun í sjálfsvörslu í sögu Bitcoin. Áætlanir um heildartap eru á bilinu 100 til 130 milljónir dollara, en endanleg tala verður líklega óviss þar sem fórnarlömb verða að tilkynna um það sjálf.

Rannsakendur ósammála um tapstölur

Galaxy Research, undir stjórn Alex Thorn, setti lágmarksviðmið sitt á 1.730 BTC á þriðjudag, með mögulegu hámarki nálægt 1.816 BTC. Thorn sagði við Cointelegraph að meira en 450 BTC hefðu verið beint staðfest í gegnum skýrslur fórnarlamba, sem aftur hjálpaði til við að bera kennsl á fleiri óþekkt fórnarlömb sem áttu yfir 730 BTC samtals. TRM Labs áætlaði sjálfstætt að árásaraðilar hefðu tæmt um 1.816 BTC af meira en 5.200 vistföngum í fjórum bylgjum, þar sem Ari Redbord, yfirmaður stefnumótunar, varaði við því að búast mætti við að talan hækkaði enn frekar.tradingview+1

CryptoQuant tekur strangari nálgun sem byggir á upplýsingagjöf. Julio Moreno, rannsóknarstjóri, sagði að staðfest tala vettvangsins stæði í 1.432 BTC og lýsti því sem lágmarki. "Vegna þess að stolið Bitcoin tilheyrði einstaklingum en ekki miðlægum aðila, eins og kauphöll, getum við aðeins staðfest það sem hvert fórnarlamb gefur opinberlega upp," sagði Moreno.crypto-economy+1

Hvernig gallinn virkaði

Veikleikinn má rekja til breytingar á firmware í mars 2021 sem olli því að fræmyndun Coldcard fór framhjá slembitölugjafa tækisins og skipti út fyrirsjáanlegu hugbúnaðarfalli með aðeins 40 bitum af virkri óreiðu í stað þeirra 128 sem ætlað var. Sú minnkun gerði það að verkum að endurheimt lykla með brute-force var tæknilega möguleg án líkamlegs aðgangs að tækinu. Að minnsta kosti 15 óháðir árásaraðilar nýttu sér veikleikann frá og með 30. júlí og tæmdu fjármuni úr þúsundum veskja með einni undirskrift í röð.forbes+3

Bitcoin-forritarinn James O'Beirne hefur sagt að hann hafi bent Coinkite á gallaða slembikóðann í maí 2025, meira en fjórtán mánuðum áður en árásin kom í ljós. Samkvæmt fréttum frá Phemex var svar Coinkite að málið hefði líklega þegar komið í ljós ef það væri raunverulegt.phemex

Eftirmálar og viðbrögð iðnaðarins

Coinkite setti upp lagfært firmware þann 31. júlí en varaði við því að uppfærslan geti ekki bætt óreiðu fræja sem þegar hafa verið mynduð. Notendur sem verða fyrir áhrifum verða að búa til algjörlega ný fræ og flytja fjármuni. Fyrirtækið sneri einnig við stefnu sinni um sjálfvirka eyðingu gagna viðskiptavina þann 6. og 7. ágúst, með vísan til "yfirstandandi og væntanlegra lagalegra mála," þó engin málsókn hafi verið lögð fram opinberlega.etfdb+1

Atvikið hefur endurvakið umræðuna um sjálfsvörslu á móti stofnanalausnum. Á Bloomberg Crypto sagði Thorn að Bitcoin myndi "lifa af" brotið og setti það fram sem bilun hjá framleiðanda frekar en galla í samskiptareglum. River, fjármálaþjónustufyrirtækið fyrir Bitcoin, tók undir þann greinarmun: "Coldcard-veikleikinn hefur ekki áhrif á Bitcoin-samskiptareglurnar eða neitt sem tengist því hvernig Bitcoin virkar."bloomberg+2

Samt sem áður hefur atvikið beint fjármagni í átt að kauphallarsjóðum. Spot Bitcoin ETF-sjóðir skráðu 853 milljónir dollara í nettóinnstreymi fyrir vikuna sem endaði 7. ágúst, sem er sterkasta vikulega talan síðan um miðjan apríl. iShares Bitcoin Trust frá BlackRock ↘ 0.54% tók til sín stærstan hluta þess innstreymis.cryptorank+1

Fyrir eigendur sem eru enn með tæki sem verða fyrir áhrifum er skilaboðin frá rannsakendum skýr: það er ekki nóg að uppfæra firmware. Aðeins nýmyndað fræ á staðfestu, lagfærðu firmware tryggir fjármuni sem eftir eru.phemex+1