Coldcard-tapene øker mens analytikere er uenige om totalt antall stjålne Bitcoin

Nesten to uker etter at angripere begynte å tømme Bitcoin fra kompromitterte Coldcard-maskinvarelommebøker, jobber blokkjede-etterforskere fortsatt med å fastslå det fulle omfanget av det analytikere kaller den verste svikten i selvforvaltning i Bitcoins historie. Estimater for totale tap varierer fra omtrent 100 millioner til 130 millioner dollar, og det endelige tallet vil sannsynligvis forbli usikkert fordi ofrene selv må melde fra.

Etterforskere uenige om tapstall

Galaxy Research, ledet av Alex Thorn, satte sitt minimumsanslag til 1 730 BTC per tirsdag, med et potensielt tak nær 1 816 BTC. Thorn fortalte Cointelegraph at over 450 BTC var direkte bekreftet gjennom rapporter fra ofre, noe som igjen hjalp til med å identifisere ytterligere ukjente ofre som til sammen holdt over 730 BTC. TRM Labs anslo uavhengig at angripere tømte omtrent 1 816 BTC fra mer enn 5 200 adresser over fire bølger, og Ari Redbord, global leder for policy, advarte om at tallet forventes å stige ytterligere.tradingview+1

CryptoQuant har en strengere tilnærming basert på rapportering. Forskningsleder Julio Moreno sa at plattformens bekreftede tall ligger på 1 432 BTC, og beskrev dette som et minimum. "Fordi den stjålne Bitcoinen tilhørte enkeltpersoner og ikke en sentralisert enhet, som en børs, kan vi bare bekrefte det hvert offer offentlig oppgir," sa Moreno.crypto-economy+1

Hvordan feilen fungerte

Sårbarheten kan spores til en endring i fastvaren i mars 2021 som førte til at Coldcards generering av seed-fraser omgikk enhetens maskinvarebaserte tilfeldighetsgenerator. I stedet ble en forutsigbar programvarefunksjon brukt, med så lite som 40 bits effektiv entropi i stedet for de tiltenkte 128. Denne reduksjonen gjorde det beregningsmessig mulig å gjenopprette nøkler uten fysisk tilgang til enheten. Minst 15 uavhengige angripere utnyttet svakheten fra 30. juli og tømte midler fra tusenvis av lommebøker med én signatur i rask rekkefølge.forbes+3

Bitcoin-utvikler James O'Beirne har uttalt at han varslet Coinkite om den mangelfulle koden i mai 2025, mer enn fjorten måneder før utnyttelsen ble kjent. Ifølge rapporter fra Phemex var Coinkites svar at problemet sannsynligvis allerede ville ha manifestert seg hvis det var reelt.phemex

Etterspill og bransjerespons

Coinkite distribuerte oppdatert fastvare 31. juli, men advarte om at oppdateringen ikke kan forbedre entropien i seed-fraser som allerede er generert. Berørte brukere må opprette helt nye seed-fraser og flytte midlene sine. Selskapet reverserte også sin policy for automatisk sletting av kundedata 6. og 7. august, med henvisning til "pågående og forventede rettslige skritt," selv om ingen søksmål er offentlig arkivert.etfdb+1

Hendelsen har blåst liv i debatten om selvforvaltning kontra institusjonelle løsninger. På Bloomberg Crypto sa Thorn at Bitcoin ville "overleve" bruddet, og rammet det inn som en svikt hos produsenten snarere enn en feil i protokollen. River, et finansielt tjenesteselskap for Bitcoin, støttet dette skillet: "Coldcard-sårbarheten påvirker ikke Bitcoin-protokollen eller noe relatert til hvordan Bitcoin fungerer."bloomberg+2

Likevel har episoden drevet kapital mot børsnoterte produkter. Spot Bitcoin-ETF-er registrerte 853 millioner dollar i netto tilførsel i uken som endte 7. august, det sterkeste ukentlige tallet siden midten av april. BlackRocks ↗ 1.54% iShares Bitcoin Trust mottok størstedelen av disse midlene.cryptorank+1

For brukere som fortsatt har midler på berørte enheter, er beskjeden fra forskere entydig: Å oppdatere fastvaren alene er ikke nok. Kun en nyopprettet seed-frase på bekreftet oppdatert fastvare sikrer gjenværende midler.phemex+1