Coldcard ফার্মওয়্যার দুর্বলতা: RNG seed-এর ত্রুটি ~112 মিলিয়ন BTC চুরিতে প্রভাব ফেলেছে

Coldcard ফার্মওয়্যার দুর্বলতা স্ব-হেফাজত (self-custody) নিয়ে উদ্বেগ বাড়িয়েছে, কারণ তদন্তকারীরা আক্রমণগুলোকে সিড-ফ্রেজ RNG ত্রুটির সঙ্গে যুক্ত করেছেন। পরবর্তী প্রতিবেদনে বলা হয়েছে, ৩০ জুলাই ২০২৬ থেকে প্রথম ঢেউ শুরু হয়, ৪১ মিনিটে ১,০০০+ ঠিকানা থেকে প্রায় ১,০৮৩ BTC সরিয়ে নেওয়া হয়; এরপর আরও চুরির ঢেউ আসে। এটি বিটকয়েন ব্লকচেইনের কোনো ভাঙন ছিল না। বরং Coldcard ফার্মওয়্যার দুর্বলতাটি সম্পর্কিত র‌্যান্ডম নাম্বার জেনারেশনের সঙ্গে, যেটি mnemonic seed phrase তৈরি করতে ব্যবহৃত হয়। সিড ফ্রেজ তৈরি যদি পূর্বানুমেয় হয়ে যায়, আক্রমণকারীরা সম্ভাব্য সিডকে সংকুচিত করতে পারে, সম্ভাব্যভাবে প্রাইভেট কি বের করে আক্রান্ত ওয়ালেটগুলো খালি করে দিতে পারে। ক্ষতির পরিমাণ রিপোর্ট অনুযায়ী আগস্টের মাঝামাঝি পর্যন্ত বাড়তে থাকে; মোট চুরির অঙ্ক হিসেবে প্রায় $112M (শত মিলিয়নের আশেপাশে) উল্লেখ করা হয়েছে, যা হাজার হাজার ঠিকানায় ছড়িয়ে আছে। মূল কারণ হিসেবে Coinkite-এর ২০২১ সালে প্রকাশিত একটি ফার্মওয়্যার আপডেটকে চিহ্নিত করা হয়, এবং আগে করা রিপোর্টগুলোতে entropy regression-এর কথা উল্লেখ ছিল। গুরুত্বপূর্ণভাবে, ফার্মওয়্যার আপগ্রেড করা আগের তৈরি সিড দিয়ে সুরক্ষিত তহবিলকে নাও রক্ষা করতে পারে। Coinkite-এর নির্দেশনা অনুযায়ী firmware 4.2.0+ এ আপডেট করা এবং seed phrase পুনরায় তৈরি করা জরুরি; ব্যবহারকারীদের তহবিল সরাতে হতে পারে। কোম্পানিটি অতিরিক্ত স্তর হিসেবে আরও শক্তিশালী BIP-39 passphrase ব্যবহারের পরামর্শ দিয়েছে এবং বলেছে যে এটি ইতোমধ্যে বাকি থাকা ঝুঁকিপূর্ণ ইনভেন্টরি ধ্বংস করা শুরু করেছে। ট্রেডারদের জন্য বাজারের শিক্ষা হলো ঝুঁকি ব্যবস্থাপনা: ঠিকানা-স্তরের হোল্ডিংকে লক্ষ্য করে করা ঘটনা দ্রুত মনোভাব (sentiment) বদলে দিতে পারে। অপারেশনাল হাইজিন নিয়ে নতুন করে আগ্রহ এবং একক ডিভাইস কম্প্রোমাইজের ঝুঁকি কমাতে সম্ভাব্যভাবে multi-signature সেটআপের দিকে মনোযোগ বাড়বে বলে আশা করা যায়।