פגיעות ב-firmware של Coldcard: גניבת 100M+ BTC אושרה, ייתכן גל רביעי

| unchainedcrypto.com
לפי Galaxy Research, פריצות באמצעות פגם בקושחת Coldcard שהובילו לגניבות מאומתות כעת בהיקף של 1,596 BTC (כ-100 מיליון דולר+), שנגנבו מכבערך 7,300 כתובות בשלוש גלי תקיפה מרכזיים וב-14 אירועים קטנים יותר. ייתכן שיש גל רביעי נוסף, ברמת ביטחון בינונית-גבוהה, שעשוי להעלות את סך ההפסדים ל-2,055 BTC (כ-130 מיליון דולר). Galaxy לא כללה את הגל הרביעי בתוך סך ה“מאומת” כי עדיין לא התקבלה חזרה מהקורבנות; עד כה 73 קורבנות יצרו קשר עם החברה וסייעו לאמת את שלושת הגלים הראשונים. בשרשרת (on-chain), כ-90% מהביטקוין הגנוב לא זז, וכתובות התוקף/הקורבן כבר שותפו עם גורמי אכיפה פדרליים בארה״ב, עם בורסות ועם חוקרי סייבר, בזמן שמדווח כי פעולות איסוף/סריקה (sweeps) נמשכות. Galaxy קושרת את האירוע לשגיאת build בקושחת Coldcard ממארס 2021: הגדרת קונפיגורציה דילגה על מחולל המספרים האקראיים בחומרה של המכשיר, ויצירת המפתחות חזרה לחלופה תוכנתית שנטענה ב-seed מנתוני סידורי/טיימר של השבב. קושחה מתוקנת נשלחה ב-31 ביולי, אך היא לא יכולה לתקן seeds שכבר נוצרו עם התצורה הפגיעה. לסוחרים, ההשפעה המיידית על השוק עבור BTC צפויה להיות מוגבלת, אך כותרות סביב פגם הקושחה של Coldcard יכולות להשפיע זמנית על סנטימנט הסיכון כלפי self-custody. המשמעות ארוכת הטווח היא דגש מוגבר על אבטחה תפעולית, במיוחד עבור משתמשים שדחו עדכוני קושחת Coldcard לאחר שהפגיעות נחשפה.
Neutral
זה בעיקרו אירוע של חומרה לאחסון עצמי (self-custody) מסוג ארנק חומרה. אף על פי שהפרצה המאומתת ב־Coldcard firmware שאפשרה את הגניבה כבר עולה על 100 מיליון דולר, ושגל אפשרי רביעי עלול להעלות את ההפסדים לכ־130 מיליון דולר, גלקסי מציינת שכ־90% מה־BTC הגנוב עדיין לא זז. המשמעות היא שזה מקטין לחץ מכירה מיידי בבורסות כתוצאה מהפריצה הספציפית הזו. בטווח הקצר: סוחרים עשויים לראות תחושת risk-off זמנית סביב כותרות של self-custody ואבטחה, אבל ההשפעה על מחיר ה־BTC צפויה להיות מתונה ללא עדות לפיזור גדול וקרוב ליעדי נזילות. בטווח הארוך: דגש על אבטחת תפעול עשוי לגרום ליותר משתמשים לעדכן קושחה או להעביר זרעים (seeds), אך מדובר יותר בשינוי התנהגותי מבני מאשר בהלם ביקוש ישיר ל־BTC. בסך הכול, זרימת המידע מעוררת דאגה, אך לא ברור שהיא מתורגמת באופן חד ליסודות דוביים (bearish) ל־BTC בטווח הקרוב.