Coldcard seed জেনারেশনে বাগ: হাজার হাজার ওয়ালেট থেকে 100 মিলিয়ন ডলারের বেশি BTC চুরি

Coldcard-এর seed generation–এর বাগটি কয়েক বছর ধরে নজরে আসেনি, যদিও ব্যবহারকারীরা পাবলিক ফার্মওয়্যার পরিদর্শন করতে পারতেন। পরে গবেষণা সমস্যাটিকে মার্চ ২০২১ (v4.0.0)–এর একটি ফার্মওয়্যার পরিবর্তনের সাথে মিলিয়েছে, যেখানে seed phrase তৈরির সময় উদ্দেশ্যপ্রণোদিত নিবেদিত হার্ডওয়্যার entropy সোর্সের বদলে অপেক্ষাকৃত দুর্বল randomness generator ব্যবহার করা হয়েছিল। তদন্তকারীরা প্রায় ১,৫৯৬–১,৮১৬ BTC (১০০ মিলিয়ন ডলারেরও বেশি) চুরির খবর দিয়েছেন, যা আনুমানিক ৫,২০০–৭,৩০০টি ঠিকানা থেকে হয়েছে। Coinkite জানিয়েছে, কিছু আক্রান্ত মডেলে আনুমানিক ~৭২ বিট entropy ছিল, যেখানে উদ্দেশ্য ছিল ১২৮ বিট; ফলে seed search space নাটকীয়ভাবে কমে যায়। Block-এর নিরাপত্তা টিম বলছে, আক্রান্ত randomness পথটি কোনো নিরাপদ randomness সরবরাহ করেনি। Coinkite আক্রান্ত Coldcard মডেলগুলোর জন্য স্থির (fixed) ফার্মওয়্যার প্রকাশ করেছে, কিন্তু এই আপডেটটি বিদ্যমান recovery phrase–কে “upgrade” করে না। আক্রান্ত ব্যবহারকারীদের প্যাচ ইনস্টল করতে হবে, সম্পূর্ণ নতুন seed তৈরি করতে হবে, এবং সংশোধিত seed থেকে উদ্ভূত ঠিকানাগুলোতে তহবিল স্থানান্তর করতে হবে। মে ২০২৫–এর একটি অডিটের পর James O’Beirne randomness সমস্যাটি চিহ্নিত করেন এবং সেটি libngu পর্যন্ত ট্রেস করেন। ট্রেডারদের জন্য, Coldcard seed generation ত্রুটিটি self-custody অবস্থায় key-creation পর্যায়ে নির্মাতা/কাউন্টারপার্টি ঝুঁকি আরও জোরালো করে। এটি হার্ডওয়্যার-ওয়ালেট বিশ্বাসের ক্ষেত্রে একটি reputational ও operational ধাক্কা, কিন্তু ঘটনাটি BTC–এর মৌলিক ভিত্তি বদলে দেবে—এটি সম্ভাব্য নয়।