Coldcard üreticisi 130 milyon dolarlık hack olayındaki kayıpları doğrulamaktan kaçındı

Hackerlar, kripto tarihindeki en büyük donanım cüzdan saldırısında, Coldcard donanım cüzdanlarına bağlı 7,300'den fazla adresten tahmini 1,596 ila 1,816 bitcoin (100 milyon ile 130 milyon dolar arası değerde) çaldı. 30 Temmuz'da başlayan saldırı, cüzdan tohum ifadelerini oluşturmak için kullanılan rastgeleliği zayıflatan beş yıllık bir yazılım açığından yararlanarak, saldırganların fiziksel bir cihaza dokunmadan özel anahtarları kaba kuvvet (brute-force) yöntemiyle ele geçirmesine olanak tanıdı.crypto+2

Toronto merkezli Coldcard üreticisi Coinkite, Çarşamba günü Bloomberg'e yaptığı açıklamada belirli kayıp rakamlarını doğrulamayı reddetti. Şirket, "Toplam kayıpları bağımsız olarak doğrulayacak veya üçüncü taraflarca bildirilen belirli rakamları onaylayacak bir konumda değiliz" dedi.bloomberg

Bir Satır Kod Her Şeyi Nasıl Bozdu

Güvenlik açığı, bir derleme yapılandırma hatasına yol açan Mart 2021 tarihli bir yazılım güncellemesine dayanıyor. MICROPY_HW_ENABLE_RNG adlı makronun sıfıra ayarlanması, destekleyici bir kriptografik kütüphanenin cihazın özel donanımsal rastgele sayı üretecini atlayıp tahmin edilebilir bir yazılım ikamesine dönmesine neden oldu. Sonuç olarak, Mk3 cihazlarındaki tohum ifadeleri hedeflenen 128 bit yerine yaklaşık 40 bit entropi ile oluşturuldu; bu da güvenliği, bir bilgisayarın dakikalar içinde kırabileceği bir seviyeye indirdi.memeburn+1

Block'un ↘ 3.68% bitcoin güvenlik ekibi, anonim bağımsız araştırmacılarla birlikte hatayı izledikten sonra tam teknik dökümü yayınladı. Galaxy Research dört saldırı dalgasını takip etti: 30 Temmuz'daki ilk dalga 41 dakikada 1,196 adresten 1,082 BTC süpürdü; 4 Ağustos'a kadar süren sonraki dalgalar doğrulanmış kayıpları 1,596 BTC'ye çıkardı ve şüpheli dördüncü bir dalga toplamı 2,055 BTC'ye taşıyabilir.crypto+2

Kurbanlar Her Şeyi Doğru Yapmıştı

İhlalin en acı ironisi, bitcoin'in en güvenlik bilincine sahip sahiplerini vurması oldu. Kanadalı girişimci Jonathan Goodman, bir banka kasasında saklanan Coldcard'ından yaklaşık 1.6 milyon Kanada doları değerinde 18.25 BTC kaybettikten sonra X'te, "Belki de bunun en zor yanı, her şeyi doğru yapmış olmam" diye yazdı. Tohum ifadesi sahte bir sözlüğün içine gizlenmiş metal bir plakaya kazınmış olan 38 yaşındaki pazarlamacı Tim Lamb ise tatildeyken yaklaşık 130,000 dolar değerinde iki bitcoin kaybetti.news.bloomberglaw+1

Coinkite CEO'su Rodolfo Novak, 31 Temmuz'da X'te özür dileyerek şunları yazdı: "Bir özrün kimsenin fonlarını geri getirmediğini biliyoruz. Kullanıcılarımızın güvenini yeniden kazanmamız gerektiğini biliyoruz." Şirket acil durum yazılımı yayınladı, savunmasız kalan envanteri imha etti ve sevkiyatları durdurdu; ancak yamalamanın, tehlikeye giren yazılımlarda zaten oluşturulmuş tohumları onarmayacağı konusunda uyardı.crypto+2

Sonuçlar Bireysel Saklama Tartışmasını Yeniden Şekillendiriyor

İhlal, bitcoin'in borsalardan çıkış yönündeki iki yıllık eğilimi tersine çevirdi. CryptoQuant, 31 Temmuz'da 1 BTC altı transferlerin 39,600 BTC'ye ulaştığını ve bunun 2022'de FTX çöktüğünde görülen panik seviyelerine yakın olduğunu bildirdi. Cantor Fitzgerald müşterilerine, hack olayının talebi yönetilen saklama sağlayıcılarına ve BlackRock'ın ↘ 0.54% iShares Bitcoin ↘ 0.29% Trust'ı gibi spot bitcoin ETF'lerine yönlendirebileceğini belirterek, Coinbase ↘ 1.46% ve Robinhood ↘ 1.25%'u potansiyel yararlanıcılar arasında gösterdi.thestreet+1

Çalınan fonların yaklaşık yüzde 90'ı saldırganların kontrolündeki adreslerde hareketsiz duruyor, ancak analistler bir aktörün yaklaşık 64 BTC'yi Wasabi Wallet'ın CoinJoin mikseri üzerinden yönlendirmeye başladığını tespit etti. Galaxy Research, şüpheli yaklaşık 600 saldırgan adresini ABD federal kolluk kuvvetleri ve kripto borsalarıyla paylaştı.coinpaper+2