Błąd w oprogramowaniu Coldcard: potwierdzona kradzież 100M+ BTC, możliwa 4. fala
Galaxy Research podaje, że luki w oprogramowaniu (firmware) Coldcard powiązane z kradzieżami są już potwierdzone na poziomie 1 596 BTC (około 100 mln+ USD) skradzionych z ok. 7 300 adresów w trzech głównych falach ataku oraz w 14 mniejszych incydentach. Możliwa jest podejrzewana czwarta fala z wiarygodnością średnio-wysoką, co mogłoby podnieść łączne straty do 2 055 BTC (około 130 mln USD). Galaxy utrzymała czwartą falę poza „potwierdzonymi” sumami, ponieważ ofiary jeszcze nie wróciły z informacjami zwrotnymi; jak dotąd 73 ofiary skontaktowały się z firmą i pomogły zweryfikować trzy pierwsze fale.
On-chain ok. 90% skradzionego bitcoina nie zostało przeniesione. Adresy atakującego i ofiar zostały przekazane amerykańskim federalnym organom ścigania, giełdom oraz badaczom cyberbezpieczeństwa, a opisywane „sweeps” (akcje przejmowania/zbierania środków) trwają. Galaxy wiąże incydent z błędem kompilacji firmware Coldcard z marca 2021 r.: ustawienie konfiguracyjne pominęło sprzętowy generator liczb losowych urządzenia, a generowanie kluczy cofnęło się do programowego zamiennika zainicjowanego danymi z numeru seryjnego układu i timera. Naprawiony firmware trafił do użytkowników 31 lipca, ale nie może naprawić seedów już wygenerowanych przy użyciu podatnej konfiguracji.
Dla traderów bezpośredni wpływ na rynek BTC prawdopodobnie jest ograniczony, ale nagłówki dotyczące luki w firmware Coldcard mogą tymczasowo wpłynąć na nastawienie do ryzyka w przypadku self-custody. Długofalową konsekwencją jest większy nacisk na bezpieczeństwo operacyjne, szczególnie u użytkowników, którzy opóźnili aktualizacje firmware Coldcard po ujawnieniu podatności.
Neutral
To przede wszystkim incydent dotyczący hardware portfela w systemie samodzielnego przechowywania (self-custody). Chociaż potwierdzona wada oprogramowania Coldcard powiązana z kradzieżą przekroczyła już 100 mln USD, a możliwa 4. fala mogłaby podnieść straty do ok. 130 mln USD, Galaxy zauważa, że około 90% skradzionych BTC nie zostało jeszcze przeniesione. Ogranicza to natychmiastową presję sprzedażową na giełdach wynikającą z tego konkretnego hacku.
W krótkim terminie: traderzy mogą dostrzec chwilowy spadek skłonności do ryzyka (risk-off) w związku z nagłówkami dotyczącymi self-custody i bezpieczeństwa, ale wpływ ceny BTC prawdopodobnie będzie stłumiony, jeśli nie ma dowodów na dużą, nieuchronną dystrybucję do miejsc zapewniających płynność.
W długim terminie: nacisk na bezpieczeństwo operacyjne może skłonić więcej użytkowników do aktualizacji oprogramowania lub migracji seedów, ale jest to bardziej zmiana behawioralna o charakterze strukturalnym niż bezpośredni szok popytowy na BTC. Ogólnie przepływ informacji budzi niepokój, lecz nie przekłada się wyraźnie na bliskoterminowe niedźwiedzie fundamenty dla BTC.