Coldcardin laiteohjelmistovirhe: 100M+ BTC -varkaus vahvistettu, mahdollinen neljäs aalto
Galaxy Researchin mukaan Coldcardin firmware-haavoittuvuuteen liittyvät varkaudet on nyt vahvistettu 1 596 BTC:n (noin 100 M$+) suuruisiksi: noin 7 300 osoitteesta on varastettu varoja kolmen suuren hyökkäysaallon ja 14 pienemmän tapauksen aikana. Epäilty neljäs aalto on mahdollinen keskitason–korkean luottamuksen vallitessa, ja se voisi nostaa kokonaisvahingot 2 055 BTC:hen (noin 130 M$). Galaxy jätti neljännen aallon pois “vahvistetuista” luvuista, koska uhrit eivät ole vielä raportoineet takaisin; tähän mennessä 73 uhria on ollut yhteydessä yritykseen ja auttanut vahvistamaan kolme ensimmäistä aaltoa.
On-chain-tiedoissa noin 90 % varastetusta bitcoinista ei ole siirtynyt. Hyökkääjä- ja uhriosoitteet on jaettu Yhdysvaltain liittovaltion lainvalvontaviranomaisten, pörssien ja kyberturvallisuustutkijoiden kanssa, ja “sweep”-operaatioiden kerrotaan olevan yhä käynnissä. Galaxy yhdistää tapauksen maaliskuuhun 2021, jolloin Coldcardin firmware-koonnissa oli virhe: konfiguraatioasetuksessa ohitettiin laitteen laitteistopohjainen satunnaisuusgeneraattori, ja avainten generointi putosi ohjelmavarenteeseen, joka siemenestä (seed) rakennettiin piirun sarjanumero- ja ajastindatasta. Korjattu firmware julkaistiin 31. heinäkuuta, mutta se ei voi korjata siemeniä, jotka oli jo generoitunut haavoittuvalla kokoonpanolla.
Treidaajille BTC:n välitön vaikutus markkinaan on todennäköisesti rajallinen, mutta otsikot Coldcardin firmware-haavoittuvuudesta voivat tilapäisesti heikentää riskimielialaa itsehallinnoinnissa (self-custody). Pitkän aikavälin seuraus on lisääntynyt huomio operatiiviseen turvallisuuteen, erityisesti käyttäjille, jotka viivästyttivät Coldcard-firmware-päivityksiä sen jälkeen, kun haavoittuvuus tuli ilmi.
Neutral
Tämä on ensisijaisesti itsehallinnoitava (self-custody) laitteistolompakon tapaus. Vaikka Coldcardin ohjelmistovian, joka on vahvistettu johtaneen varkauteen, aiheuttamat menetykset ovat nyt yli 100 miljoonaa dollaria ja mahdollinen 4. aalto voisi nostaa tappiot noin 130 miljoonaan dollariin, Galaxy huomauttaa, että noin 90 % varastetuista BTC:istä ei ole vielä liikkunut. Tämä vähentää tämän nimenomaisen hakkauksen aiheuttamaa välitöntä myyntipainetta pörsseissä.
Lyhyellä aikavälillä: treidaajat voivat nähdä tilapäisen riskin välttelyyn (risk-off) viittaavan tunnelman self-custodyn ja turvallisuuteen liittyvien otsikoiden vuoksi, mutta BTC:n hinnan vaikutus on todennäköisesti vaimea ilman näyttöä suuresta, pian tapahtuvasta jakelusta likviditeettipaikkoihin.
Pitkällä aikavälillä: keskittyminen operatiiviseen turvallisuuteen voi kannustaa useampia käyttäjiä päivittämään laiteohjelmiston tai siirtämään seedit, mutta tämä on enemmän rakenteellinen käyttäytymismuutos kuin suora BTC:n kysyntäshokki. Kokonaisuutena informaatio lisää huolta, mutta ei selkeästi muutu BTC:n lähiajan laskeviksi perustekijöiksi.