Hack Coldcard ujawnia od dawna ukrytą wadę losowości ziarna
Według doniesień hack Coldcard ukradł prawie 114 mln USD w BTC z 709+ adresów. Błąd w oprogramowaniu (firmware) miał generować seed-y portfela z dużo mniejszą losowością niż obiecano. Pierwszy „sweep” rzekomo opróżnił około 500 portfeli w 25 minut.
Problem miał trafić do bazy kodu Coldcard w marcu 2021 r. i według relacji pozostawał widoczny przez ponad pięć lat, mimo że kod źródłowy był publicznie dostępny. Późniejszy artykuł dodaje szersze ujęcie „luk zaufania”: argumentuje, że porażka była kształtowana przez procesy i bodźce, w tym zmiany licencjonowania oraz powiązaną przerwę w generowaniu seedów wprowadzoną w tym samym commicie z marca 2021 r.
Tekst wraca też do sprzeciwu badaczy. Ujawnienia związane z Shift Crypto i Nunchuk (sierpień 2020) spotkały się z niedowierzaniem, a późniejsze próby odtworzenia starszych problemów były przyjmowane wrogo, nawet z groźbami prawnymi. Obawa traderów jest praktyczna: aktualizacje firmware mogą nie naprawić szkód spowodowanych przez seed-y już wygenerowane na podatnych wersjach, więc migracja i ręczne przenoszenie środków ma znaczenie.
Po incydencie przepływy do giełd miały ponownie stać się dodatnie (OKX wskazało rekordowe napływy), a popyt na spotowe BTC ETF-y wzrósł (np. IBIT/FBTC). Dla traderów hack Coldcard może zwiększać krótkoterminową zmienność wokół narracji o przechowywaniu BTC i bezpieczeństwie portfeli, natomiast długoterminowy wpływ zależy od szybszych przeglądów bezpieczeństwa i czytelniejszych wytycznych w dokumentacji oraz mediach.
Wniosek z hacku Coldcard: traktuj self-custody na pojedynczym urządzeniu jako wyższe ryzyko i stawiaj na zweryfikowane procedury (ścieżka audytu, migracja oraz bezpieczniejsze praktyki multi-sig), nawet po „awaryjnych” aktualizacjach firmware.
Neutral
Chociaż włamanie na Coldcard to z całą pewnością poważne wydarzenie dotyczące powierniczej obsługi (custody) i bezpieczeństwa portfeli BTC, to bezpośredni sygnał handlowy jest niejednoznaczny. W krótkim terminie narracja o ryzyku związanym z self-custody oraz losowością seedów może zwiększać zmienność, szczególnie u posiadaczy korzystających z jednego urządzenia sprzętowego. W długim terminie ponowny nacisk na audyty, najlepsze praktyki migracji i szybsze przeglądy bezpieczeństwa może pomóc ograniczyć ryzyko „ogona”, ale może też utrzymywać uwagę na infrastrukturze związanej z custody.
Jednocześnie opisywana zmiana po incydencie—dodatnie saldo netto napływów na giełdy oraz silniejszy popyt na spotowe ETF-y na BTC—może skompensować panikę, kierując przepływy do regulowanych „opakowań”. W efekcie netto wpływ na cenę BTC jest bardziej prawdopodobnie neutralny: katalizator zmienności, a nie utrzymujący się czynnik kierunkowy.