Coldcard-hack avslöjar ett länge dolt fel i seedens slumpmässighet

Det uppges att Coldcard-hacket stals på nästan 114 miljoner USD i BTC från 709+ adresser. En brist i firmware ska ha genererat plånboksfrön med betydligt mindre slumpmässighet än vad som lovats. Den första genomsökningen ska ha tömt omkring 500 plånböcker inom 25 minuter. Problemet ska ha lagts in i Coldcards kodbas i mars 2021 och varit synligt i över fem år, trots att källkoden var offentligt tillgänglig. Den senare artikeln lägger till ett bredare perspektiv på ”trust gaps”: den menar att misslyckandet formades av processer och incitament, inklusive licensändringar och ett tillhörande avbrott i frögenereringen som infördes i samma mars 2021-commit. Artikeln tar även upp forskarnas motstånd. Uppgifter kopplade till Shift Crypto och Nunchuk (augusti 2020) möttes med skepsis, och senare försök att återskapa äldre problem möttes av fientlighet och till och med juridiska hot. Oro för handlare är praktisk: firmwareuppdateringar kan inte åtgärda skada som redan orsakats av frön som genererats i sårbara versioner, så migrering och manuella flyttar av medel spelar roll. Efter incidenten ska flödena till börser ha vänt uppåt igen (OKX nämnde rekordinflöden), och efterfrågan på spot-BTC-börshandlade fonder ökade (t.ex. IBIT/FBTC). För handlare kan Coldcard-hacket leda till kortsiktig volatilitet kring berättelser om BTC-förvaring och plånbokssäkerhet, medan marknadens mer långsiktiga effekt beror på snabbare säkerhetsgranskningar och tydligare vägledning i dokumentation och media. Lärdom från Coldcard-hacket: betrakta självförvaring på en enda enhet som högre risk, och prioritera verifierade rutiner (spårbarhet/audit trail, migrering och säkrare multi-signaturupplägg) även efter ”nödfalls”-firmwareuppdateringar.