„Coldcard“ įsilaužimo nuostoliai auga, analitikų vertinimai dėl pavogto bitkoino kiekio skiriasi

Praėjus beveik dviem savaitėms po to, kai užpuolikai pradėjo grobstyti bitkoinus iš pažeistų „Coldcard“ aparatinės įrangos piniginių, blokų grandinės tyrėjai vis dar bando nustatyti visą mastą to, ką analitikai vadina didžiausia savarankiško saugojimo nesėkme bitkoino istorijoje. Bendrų nuostolių vertinimai svyruoja nuo maždaug 100 mln. iki 130 mln. JAV dolerių, o galutinis skaičius greičiausiai išliks neaiškus, nes aukos turi pranešti apie tai pačios.

Tyrėjų nuomonės dėl nuostolių skiriasi

„Galaxy Research“, vadovaujama vyriausiojo tyrimų vadovo Alexo Thorno, antradienį nustatė mažiausią patikimą 1 730 BTC nuostolį, o potenciali viršutinė riba siekia apie 1 816 BTC. Thornas „Cointelegraph“ sakė, kad daugiau nei 450 BTC buvo tiesiogiai patvirtinti per aukų pranešimus, kurie savo ruožtu padėjo nustatyti papildomas nežinomas aukas, kartu turėjusias daugiau nei 730 BTC. „TRM Labs“ nepriklausomai apskaičiavo, kad užpuolikai per keturias bangas iš daugiau nei 5 200 adresų išvedė apie 1 816 BTC, o pasaulinis politikos vadovas Ari Redbordas įspėjo, kad šis skaičius turėtų dar labiau didėti.tradingview+1

„CryptoQuant“ laikosi griežtesnio, atskleidimu pagrįsto požiūrio. Jos tyrimų vadovas Julio Moreno teigė, kad platformos patvirtintas skaičius siekia 1 432 BTC, apibūdindamas tai kaip apatinę ribą. „Kadangi pavogti bitkoinai priklausė asmenims, o ne centralizuotam subjektui, pavyzdžiui, biržai, galime patvirtinti tik tai, ką kiekviena auka viešai atskleidžia“, – sakė Moreno.crypto-economy+1

Kaip veikė klaida

Pažeidžiamumas siejamas su 2021 m. kovo mėn. atliktu programinės įrangos pakeitimu, dėl kurio „Coldcard“ sėklos generavimas aplenkdavo įrenginio aparatinės įrangos atsitiktinių skaičių generatorių, pakeičiant jį nuspėjama programinės įrangos funkcija, turinčia vos 40 bitų efektyvios entropijos vietoj numatytų 128. Dėl to rakto atkūrimas naudojant „brute-force“ metodą tapo techniškai įmanomas be fizinės prieigos prie įrenginio. Nuo liepos 30 d. mažiausiai 15 nepriklausomų užpuolikų išnaudojo šį silpnumą, sparčiai ištuštindami lėšas iš tūkstančių vieno parašo piniginių.forbes+3

Bitkoino kūrėjas Jamesas O'Beirne'as teigė, kad apie klaidingą atsitiktinumo kodą „Coinkite“ įspėjo 2025 m. gegužę, daugiau nei keturiolika mėnesių prieš paaiškėjant išnaudojimo atvejams. Remiantis „Phemex“ pranešimais, „Coinkite“ atsakė, kad jei problema būtų tikra, ji greičiausiai jau būtų pasireiškusi.phemex

Pasekmės ir pramonės reakcija

„Coinkite“ liepos 31 d. įdiegė pataisytą programinę įrangą, tačiau įspėjo, kad atnaujinimas negali pagerinti jau sugeneruotų sėklų entropijos. Paveikti vartotojai privalo sukurti visiškai naujas sėklas ir perkelti lėšas. Bendrovė taip pat rugpjūčio 6 ir 7 d. atšaukė savo klientų duomenų automatinio ištrynimo politiką, nurodydama „vykstančius ir numatomus teisinius procesus“, nors joks ieškinys viešai nebuvo pateiktas.etfdb+1

Šis incidentas atnaujino diskusijas apie savarankišką saugojimą ir institucinius sprendimus. „Bloomberg Crypto“ laidoje Thornas sakė, kad bitkoinas „išgyvens“ šį pažeidimą, apibūdindamas tai kaip gamintojo nesėkmę, o ne protokolo klaidą. „River“, bitkoino finansinių paslaugų įmonė, pakartojo šį skirtumą: „Coldcard“ pažeidžiamumas neturi įtakos bitkoino protokolui ar niekam, kas susiję su bitkoino veikimu.“bloomberg+2

Vis dėlto šis epizodas paskatino kapitalo srautą į biržoje prekiaujamus produktus. „Spot“ bitkoino ETF per savaitę, pasibaigusią rugpjūčio 7 d., užfiksavo 853 mln. JAV dolerių grynąjį įplaukimą – tai didžiausias savaitinis rodiklis nuo balandžio vidurio. „BlackRock“ ↗ 1.54% „iShares Bitcoin Trust“ pritraukė didžiąją dalį šių srautų.cryptorank+1

Turėtojams, vis dar naudojantiems paveiktus įrenginius, tyrėjų žinutė yra vienareikšmiška: vien programinės įrangos atnaujinimo nepakanka. Tik naujai sugeneruota sėkla patvirtintoje pataisytoje programinėje įrangoje apsaugo likusias lėšas.phemex+1