Coldcard-produsent vil ikke bekrefte tap etter hack på 130 millioner dollar

Hackere har tappet anslagsvis 1 596 til 1 816 bitcoin, verdt mellom 100 og 130 millioner dollar, fra over 7 300 adresser knyttet til Coldcard-maskinvarelommebøker i det største angrepet mot maskinvarelommebøker i kryptohistorien. Angrepet, som startet 30. juli, utnyttet en fem år gammel feil i fastvaren som svekket tilfeldigheten som brukes til å generere seed-fraser. Dette gjorde det mulig for angripere å knekke private nøkler uten å noen gang ha fysisk tilgang til enheten.crypto+2

Toronto-baserte Coinkite, produsenten av Coldcard, nektet å bekrefte spesifikke tapsbeløp i en uttalelse til Bloomberg på onsdag. "Vi er ikke i en posisjon til å uavhengig bekrefte totale tap eller validere de spesifikke tallene som rapporteres av tredjeparter," uttalte selskapet.bloomberg

Hvordan én kodelinje ødela alt

Sårbarheten kan spores tilbake til en fastvareoppdatering fra mars 2021 som introduserte en konfigurasjonsfeil. En makro kalt MICROPY_HW_ENABLE_RNG, satt til null, førte til at et støttende kryptografisk bibliotek omgikk enhetens dedikerte maskinvarebaserte tilfeldighetsgenerator og falt tilbake på en forutsigbar programvareerstatning. Resultatet var at seed-fraser på Mk3-enheter ble generert med omtrent 40 biter entropi i stedet for de tiltenkte 128 bitene, noe som reduserte sikkerheten fra en effektivt ubrytelig lås til noe en datamaskin kunne knekke på minutter.memeburn+1

Blocks ↘ 3.68% bitcoin-sikkerhetsteam publiserte den fullstendige tekniske analysen etter å ha sporet feilen sammen med anonyme uavhengige forskere. Galaxy Research sporet fire angrepsbølger: den første 30. juli tømte 1 082 BTC fra 1 196 adresser på 41 minutter; påfølgende bølger frem til 4. august brakte de bekreftede tapene til 1 596 BTC, med en mistenkt fjerde bølge som potensielt kan presse totalen til 2 055 BTC.crypto+2

Ofrene gjorde alt riktig

Det mest ironiske med bruddet er at det rammet de mest sikkerhetsbevisste bitcoin-eierne. "Kanskje det vanskeligste med dette er at jeg gjorde alt riktig," skrev den kanadiske gründeren Jonathan Goodman på X etter å ha mistet 18,25 BTC verdt omtrent 1,6 millioner kanadiske dollar fra en Coldcard lagret i en bankboks. Tim Lamb, en 38 år gammel markedsfører hvis seed-frase var stemplet på en metallplate skjult i en falsk ordbok, mistet to bitcoin verdt rundt 130 000 dollar mens han var på ferie.news.bloomberglaw+1

Coinkite-sjef Rodolfo Novak beklaget på X den 31. juli og skrev: "Vi vet at en beklagelse ikke gir noen pengene tilbake. Vi vet at vi må gjenvinne brukernes tillit." Selskapet utstedte en nød-fastvare, destruerte gjenværende sårbar beholdning og stanset forsendelser, men advarte om at oppdatering ikke reparerer seed-fraser som allerede er generert på kompromittert fastvare.crypto+2

Etterspillet endrer debatten om selvforvaltning

Bruddet har snudd en toårig trend der bitcoin har blitt flyttet ut av børser. CryptoQuant rapporterte at overføringer under 1 BTC nådde 39 600 BTC den 31. juli, nær panikknivåene sett da FTX kollapset i 2022. Cantor Fitzgerald fortalte klienter at hacket kan styre etterspørselen mot forvaltede depotløsninger og spot-bitcoin-ETF-er som BlackRocks ↘ 0.54% iShares Bitcoin ↘ 0.29% Trust, og nevnte Coinbase ↘ 1.46% og Robinhood ↘ 1.25% som potensielle vinnere.thestreet+1

Omtrent 90 prosent av de stjålne midlene forblir urørt på angriperkontrollerte adresser, selv om analytikere har identifisert én aktør som har begynt å rute omtrent 64 BTC gjennom Wasabi Wallets CoinJoin-mikser. Galaxy Research har delt rundt 600 mistenkte angriperadresser med amerikanske føderale myndigheter og kryptobørser.coinpaper+2