Buggen i Coldcards seed-generering: 100 miljoner USD+ i BTC stals från tusentals plånböcker

Buggen i Coldcardets frö-/seed-generering gick obemärkt förbi i flera år, trots att användare kunde granska publika firmware. Senare forskning spårade problemet till en ändring i mars 2021 (v4.0.0) som använde en svagare slumpgenerator vid skapandet av seedfrasen, i stället för den avsedda dedikerade hårdvaru-entropikällan. Utredare rapporterar stölder på cirka 1 596–1 816 BTC (över 100 miljoner USD) från ungefär 5 200–7 300 adresser. Coinkite uppger att vissa påverkade modeller hade en uppskattad entropi på ~72 bitar jämfört med avsedda 128 bitar, vilket minskade frösökrummet kraftigt. Blocks säkerhetsteam säger att den påverkade slumpvägen inte levererade någon säker slumpmässighet. Coinkite har släppt åtgärdad firmware för berörda Coldcard-modeller, men uppdateringen “uppgraderar” inte befintliga återställningsfraser. Påverkade användare måste installera patchen, skapa ett helt nytt seed och flytta medel till adresser som härleds från den korrigerade seed:en. James O’Beirne flaggade slumpmätningsproblemet efter en revision i maj 2025 och spårade det till libngu. För handlare understryker felet i Coldcards seedgenerering risken för förtroendebrott hos motparter/tillverkare även i nyckelgenereringssteget vid self-custody. Det är ett rykte- och verksamhetsmässigt bakslag för förtroendet för hårdvaruplånböcker, men händelsen är osannolik att flytta Bitcoins grundläggande faktorer.