פרצת אבטחה בקושחה של Coldcard: תקלה ב-seed של ה-RNG הובילה לגניבה של ~112 מיליון BTC

חולשת הקושחה של Coldcard החריפה את החששות סביב self-custody לאחר שחוקרים קישרו התקפות לפגם ב‑RNG של seed-phrase. לפי הדיווח המאוחר יותר, הגל הראשון החל ב‑30 ביולי 2026: כ‑1,083 BTC נוקזו מכ‑1,000+ כתובות תוך 41 דקות, ולאחר מכן הגיעו גלי גניבה נוספים. זו לא הייתה פריצה בשרשרת הבלוק של ביטקוין. במקום זאת, החולשה בקושחה של Coldcard קשורה ליצירת מספרים אקראיים שמשמשת ליצירת mnemonic seed phrases. אם ייצור ה‑seed הופך לצפוי, תוקפים יכולים לצמצם את מרחב הזרעים האפשריים, אולי לגזור מפתחות פרטיים, ולרוקן ארנקים שנפגעו. לפי הדיווחים, ההפסדים המשיכו לגדול עד אמצע אוגוסט, כאשר סך הגניבות שצוטט הוא סביב 112 מיליון דולר (בסדר גודל של מאות מיליונים), על פני אלפי כתובות. הסיבה העיקרית מיוחסת לעדכון קושחה של Coinkite שיצא ב‑2021, כאשר דיווחים קודמים ציינו רגרסיה באנטרופיה. חשוב: שדרוג הקושחה ייתכן שלא יגן על כספים שכבר אובטחו באמצעות seed‑ים שנוצרו קודם. בהנחיות של Coinkite מודגש לעדכן לגרסה 4.2.0+ וליצור מחדש seed phrases, כך שמשתמשים ייתכן שיצטרכו להעביר כספים. החברה גם הציעה passphrase חזקים יותר של BIP‑39 כשכבת הגנה נוספת, ואמרה שהחלה להשמיד מלאי פגיע שנותר. לסוחרים, המסר הוא ניהול סיכונים: אירועים שמכוונים להחזקות ברמת כתובת יכולים לשנות מהר את התחושה בשוק. צפו להתעוררות מחודשת של העניין בהיגיינה תפעולית ולשימוש אפשרי בהתקנות multi‑signature כדי להפחית את סיכון הפשרה של מכשיר יחיד.