Coldcard سیڈ جنریشن بَگ: ہزاروں والیٹس سے $100 ملین+ مالیت کا BTC نکال لیا گیا

Coldcard کی seed-generation والی خرابی کئی سال تک نظر انداز رہی، حالانکہ صارفین پبلک فرم ویئر کو چیک کر سکتے تھے۔ بعد کی تحقیق نے اس مسئلے کو مارچ 2021 کی ایک فرم ویئر تبدیلی (v4.0.0) سے جوڑا، جس میں seed phrase بنانے کے وقت مطلوبہ dedicated ہارڈویئر entropy source کے بجائے ایک کمزور randomness generator استعمال کیا گیا۔ تفتیش کاروں کے مطابق تقریباً 1,596–1,816 BTC (100 ملین ڈالر سے زیادہ) کی چوری تقریباً 5,200–7,300 ایڈریسز سے کی گئی۔ Coinkite کا کہنا ہے کہ متاثرہ بعض ماڈلز میں اندازاً ~72 bits کی entropy تھی جبکہ مطلوبہ 128 bits تھی، جس سے seed search space ڈرامائی طور پر کم ہو گیا۔ Block کی سیکیورٹی ٹیم کہتی ہے کہ متاثرہ randomness والا راستہ کوئی بھی محفوظ randomness فراہم نہیں کر رہا تھا۔ Coinkite نے متاثرہ Coldcard ماڈلز کے لیے فکسڈ فرم ویئر جاری کر دیا ہے، مگر یہ اپڈیٹ موجودہ recovery phrases کو “upgrade” نہیں کرتا۔ متاثرہ صارفین کو یہ patch انسٹال کرنا ہوگا، بالکل نیا seed بنانا ہوگا، اور پھر درست شدہ seed سے اخذ کیے گئے ایڈریسز پر فنڈز منتقل کرنے ہوں گے۔ James O’Beirne نے مئی 2025 کے آڈٹ کے بعد randomness کے مسئلے کی نشاندہی کی اور اسے libngu تک ٹریس کیا۔ تاجر افراد کے لیے، Coldcard میں seed generation کی یہ خامی self-custody کے دوران key-creation کے مرحلے میں counterparty/مینوفیکچرر رسک کو مزید نمایاں کرتی ہے۔ یہ hardware-wallet پر اعتماد کے لیے ایک reputational اور operational جھٹکا ہے، لیکن یہ واقعہ BTC کے بنیادی fundamentals میں تبدیلی کا امکان نہیں رکھتا۔