Coldcard-laiteohjelmiston haavoittuvuus: RNG-siemenen vika laukaisee ~112 miljoonan BTC:n varkauden

Coldcard-laiteohjelmiston (firmware) haavoittuvuus on lisännyt huolta itsehallinnoinnista (self-custody), kun tutkijat yhdistivät hyökkäykset seed-phrase’ien luomisessa käytettyyn RNG-virheeseen (satunnaislukugeneraattori). Myöhemmän raportin mukaan ensimmäinen aalto alkoi 30. heinäkuuta 2026: noin 1 083 BTC:tä tyhjennettiin 1 000+ osoitteesta 41 minuutissa, ja sen jälkeen seurasi lisää varkaussingeleitä. Tämä ei ollut Bitcoinin lohkoketjun (blockchain) murtuminen. Sen sijaan Coldcardin firmware-haavoittuvuus liittyy satunnaislukujen generointiin, jota käytetään muistettavien mnemonic seed phrase -lauseiden luomiseen. Jos seedien generointi muuttuu ennustettavaksi, hyökkääjät voivat rajata vaihtoehtoja, ja mahdollisesti johtaa yksityisiä avaimia sekä tyhjentää vaikutuksen alaiset lompakot. Raporttien mukaan tappiot kasvoivat edelleen elokuun puoliväliin asti, ja kokonaisvarkauksiksi mainittiin noin 112 miljoonaa dollaria (satojen miljoonien luokkaa), jaoteltuna tuhansille osoitteille. Juuri syy jäljitetään Coinkitein vuonna 2021 julkaisemaan firmware-päivitykseen; aiemmat havainnot viittasivat myös entropian heikkenemiseen. Kriittisesti: firmware-päivitys ei välttämättä suojaa varoja, jotka on lukittu aiemmin luotuilla seed phrase -lauseilla. Coinkitein ohjeistus korostaa päivitystä versioon 4.2.0+ ja seed phrase -lauseiden uudelleenluontia, ja käyttäjien saattaa olla tarpeen siirtää varoja. Yritys suositteli myös vahvempien BIP-39 passphrase’iden käyttöä lisäkerroksena sekä kertoi aloittaneensa jäljellä olevan haavoittuvan varaston tuhoamisen. Treidaajille markkinaviesti on riskienhallinta: osoitetasolle kohdistuvat tapaukset voivat muuttaa sentimenttiä nopeasti. Odota uutta kiinnostusta operatiiviseen hygieniaan ja mahdollisesti multi-signature-ratkaisuihin yksittäisen laitteen kompromioitumisriskin vähentämiseksi.