Kerentanan perisian tegar Coldcard: kecacatan pada benih RNG mencetuskan kecurian ~112 juta BTC
Kerentanan firmware Coldcard telah meningkatkan kebimbangan tentang self-custody selepas penyiasat mengaitkan serangan dengan kelemahan RNG seed-phrase. Laporan seterusnya menyatakan gelombang pertama bermula pada 30 Julai 2026, merompak kira-kira 1,083 BTC daripada 1,000+ alamat dalam 41 minit, diikuti oleh gelombang kecurian lain.
Ini bukan kerosakan pada blockchain Bitcoin. Sebaliknya, kerentanan firmware Coldcard dikaitkan dengan penjanaan nombor rawak yang digunakan untuk menghasilkan frasa seed mnemonic. Jika penjanaan seed menjadi boleh diramal, penyerang boleh mengecilkan julat seed yang mungkin, berpotensi menurunkan kunci persendirian, dan mengosongkan dompet yang terjejas.
Kerosakan dilaporkan terus meningkat hingga pertengahan Ogos, dengan jumlah angka kecurian yang disebut sekitar $112 juta (dalam julat ratusan juta), melibatkan ribuan alamat. Punca utama merujuk kepada kemas kini firmware Coinkite yang dikeluarkan pada 2021, dengan laporan terdahulu turut menyebut kemerosotan entropi.
Paling penting, peningkatan firmware mungkin tidak melindungi dana yang disimpan menggunakan seed yang dijana sebelum ini. Panduan Coinkite menekankan kemas kini kepada firmware 4.2.0+ dan menjana semula frasa seed, dan pengguna mungkin perlu memindahkan dana. Syarikat itu juga mencadangkan frasa laluan BIP-39 yang lebih kukuh sebagai lapisan tambahan dan mengatakan ia telah mula memusnahkan inventori yang masih berisiko.
Bagi peniaga, pengajaran pasaran ialah pengurusan risiko: insiden yang menyasarkan pegangan pada tahap alamat boleh mengubah sentimen dengan cepat. Jangka minat baharu terhadap kebersihan operasi dan kemungkinan persediaan multi-signature untuk mengurangkan risiko kompromi peranti tunggal.
Bearish
Oleh sebab acara ini secara langsung menyasarkan penjanaan kunci Bitcoin dan keselamatan dompet, pedagang mungkin perlu menilai semula andaian risiko operasi untuk jagaan sendiri. Walaupun protokol Bitcoin itu sendiri tidak dikompromi, laporan yang meyakinkan tentang kecurian besar secara berbilang gelombang (sehingga sekitar $112 juta dipetik) boleh mencetuskan sentimen risk-off dalam jangka pendek untuk BTC. Dalam jangka masa pendek, ketakutan yang meningkat terhadap persediaan custody dan pengendalian seed boleh meningkatkan volatiliti dan mengurangkan selera untuk memegang BTC pada infrastruktur yang terdedah. Dalam jangka masa panjang, respons yang berkemungkinan—peningkatan firmware, penjanaan semula seed, dan migrasi ke multi-sig—boleh meningkatkan ketahanan, tetapi tempoh peralihan masih mengekalkan sentimen yang tertekan. Secara keseluruhan, kejutan keselamatan ini cenderung negatif terhadap tindakan harga BTC, bukan semata-mata neutral dari sudut teknikal.