Pepijat penjanaan seed Coldcard: BTC bernilai 100 juta USD+ dicuri daripada ribuan dompet

Pepijat penjanaan seed Coldcard tidak disedari selama bertahun-tahun, walaupun pengguna boleh menyemak firmware awam. Penyelidikan kemudian menjejak isu itu kepada perubahan firmware pada Mac 2021 (v4.0.0) yang menggunakan penjana rawak yang lebih lemah semasa penciptaan frasa seed, bukannya sumber entropi perkakasan khusus yang sepatutnya. Penyiasat melaporkan kecurian kira-kira 1,596–1,816 BTC (lebih $100 juta) daripada sekitar 5,200–7,300 alamat. Coinkite berkata sesetengah model yang terjejas mempunyai entropi anggaran ~72 bit berbanding 128 bit yang dimaksudkan, sekali gus mengecilkan ruang carian seed dengan ketara. Pasukan keselamatan Block menyatakan laluan rawak yang terjejas tidak memberikan rawak yang selamat. Coinkite telah mengeluarkan firmware yang diperbaiki untuk model Coldcard yang terjejas, tetapi kemas kini itu tidak “menaik taraf” frasa pemulihan sedia ada. Pengguna yang terjejas mesti memasang tampalan, menjana seed baharu sepenuhnya, dan memindahkan dana ke alamat yang terhasil daripada seed yang diperbetulkan. James O’Beirne membangkitkan isu rawak itu selepas audit pada Mei 2025, dan menjejaknya kepada libngu. Bagi pedagang, kecacatan penjanaan seed Coldcard ini menegaskan risiko rakan niaga/pembuat pada peringkat penciptaan kunci dalam self-custody. Ini tamparan dari segi reputasi dan operasi terhadap kepercayaan kepada dompet perkakasan, tetapi peristiwa itu tidak mungkin mengubah asas teras BTC.