Coldcard-tillverkare vägrar bekräfta förluster efter hack på 130 miljoner dollar

Hackare har tömt uppskattningsvis 1 596 till 1 816 bitcoin, värda mellan 100 och 130 miljoner dollar, från över 7 300 adresser kopplade till Coldcard-hårdvaruplånböcker i det största angreppet mot hårdvaruplånböcker i kryptohistorien. Attacken, som inleddes den 30 juli, utnyttjade en fem år gammal brist i firmware som försvagade slumpmässigheten som används för att generera seed-fraser. Detta gjorde det möjligt för angripare att knäcka privata nycklar utan att någonsin ha fysisk tillgång till en enhet.crypto+2

Toronto-baserade Coinkite, tillverkaren av Coldcard, avböjde att bekräfta specifika förlustsiffror i ett uttalande till Bloomberg på onsdagen. "Vi är inte i en position att oberoende bekräfta totala förluster eller validera de specifika siffror som rapporteras av tredje part," uppgav företaget.bloomberg

Hur en kodrad förstörde allt

Sårbarheten kan spåras till en firmware-uppdatering från mars 2021 som introducerade ett konfigurationsfel. Ett makro kallat MICROPY_HW_ENABLE_RNG, satt till noll, orsakade att ett stödjande kryptografiskt bibliotek kringgick enhetens dedikerade hårdvarubaserade slumptalsgenerator och istället använde en förutsägbar mjukvaruersättning. Resultatet blev att seed-fraser på Mk3-enheter genererades med cirka 40 bitars entropi istället för de avsedda 128 bitarna, vilket reducerade säkerheten från ett i praktiken obrytbart lås till något en dator kunde knäcka på minuter.memeburn+1

Blocks ↘ 0.03% bitcoin-säkerhetsteam publicerade den fullständiga tekniska analysen efter att ha spårat felet tillsammans med anonyma oberoende forskare. Galaxy Research spårade fyra attackvågor: den första den 30 juli tömde 1 082 BTC från 1 196 adresser på 41 minuter; efterföljande vågor fram till den 4 augusti förde de bekräftade förlusterna till 1 596 BTC, med en misstänkt fjärde våg som potentiellt kan driva totalen till 2 055 BTC.crypto+2

Offren gjorde allt rätt

Det mest ironiska med intrånget är att det drabbade bitcoins mest säkerhetsmedvetna innehavare. "Kanske det svåraste med detta är att jag gjorde allt rätt," skrev den kanadensiske entreprenören Jonathan Goodman på X efter att ha förlorat 18,25 BTC värda cirka 1,6 miljoner kanadensiska dollar från en Coldcard som förvarades i ett bankfack. Tim Lamb, en 38-årig marknadsförare vars seed-fras var stämplad på en metallplatta gömd i en falsk ordbok, förlorade två bitcoin värda cirka 130 000 dollar under sin semester.news.bloomberglaw+1

Coinkites vd Rodolfo Novak bad om ursäkt på X den 31 juli och skrev: "Vi vet att en ursäkt inte ger någon pengarna tillbaka. Vi vet att vi måste återfå våra användares förtroende." Företaget utfärdade en akut firmware-uppdatering, förstörde kvarvarande sårbart lager och stoppade leveranser, men varnade för att uppdateringen inte reparerar seed-fraser som redan genererats på komprometterad firmware.crypto+2

Efterspelet omformar debatten om självförvaltning

Intrånget har vänt en tvåårig trend där bitcoin har flyttats bort från börser. CryptoQuant rapporterade att överföringar under 1 BTC nådde 39 600 BTC den 31 juli, nära de paniknivåer som sågs när FTX kollapsade 2022. Cantor Fitzgerald meddelade klienter att hacket kan styra efterfrågan mot förvaltade depåtjänster och spot-bitcoin-ETF:er som BlackRocks ↗ 0.63% iShares Bitcoin Trust, och nämnde Coinbase ↗ 5.63% och Robinhood ↗ 2.84% som potentiella vinnare.thestreet+1

Cirka 90 procent av de stulna medlen förblir orörda på angriparstyrda adresser, även om analytiker har identifierat en aktör som börjat dirigera cirka 64 BTC genom Wasabi Wallets CoinJoin-mixer. Galaxy Research har delat cirka 600 misstänkta angriparadresser med amerikanska federala myndigheter och kryptobörser.coinpaper+2