Помилка в прошивці Coldcard пов’язана із викраденням ~1 816 BTC; обвал ентропії seed викликає попередження про самостійне зберігання
Помилка в прошивці Coldcard (v4.0.1, випущена в березні 2021 року) була пов’язана з крадіжкою приблизно 1 816 BTC із 5 200+ адрес. У деяких оцінках втрати інколи могли перевищувати $130 млн, доки тривають «sweep»-и.
Повідомляється, що баг у прошивці послабив випадковість (randomness), що використовувалася для генерації seed-значень гаманців. Оскільки seed-значення лежать в основі приватних ключів Bitcoin, ентропія могла знизитися з ідеальних ~128 біт до значень аж ~40 біт, що робить відновлення ключів шляхом brute-force більш здійсненним за допомогою сучасного обладнання.
Ранні оцінки були нижчими (наприклад, ~1 367 BTC на 4 585 адресах), але пізніші «хвилі» sweep-ів адрес підвищили цифру. Coinkite не опублікувала остаточну суму й повідомляє, що проводить post-mortem. Експлойт не вимагав інтернет-з’єднання, тож будь-який гаманець, seed якого був створений із скомпрометованою прошивкою, був уразливим уже з моменту створення.
Для трейдерів і власників: перевірте, чи ваш Coldcard seed було створено за допомогою прошивки v4.0.1. Якщо так — розгляньте переказ коштів у гаманець, згенерований на іншому, відмінному та перевіреному пристрої. Тривалі sweep-и можуть негативно вплинути на ставлення до неперевірених налаштувань self-custody, тоді як Galaxy Research припускає, що інцидент також може підвищити попит на регульовані інвестиційні інструменти на Bitcoin із аудитованими рамками зберігання (custody).
Контекст ціни Bitcoin: новини про крадіжку з’явилися, коли BTC був приблизно $63 000, тож короткострокова волатильність може визначатися радше настроями щодо ризику self-custody, ніж фундаментальними макроефектами в криптоекономіці.
Neutral
Це інцидент із безпекою самостійного зберігання (self-custody), пов’язаний із багом мікропрограми (firmware) Coldcard, а не з відмовою на рівні протоколу Bitcoin. Негайний вплив зосереджений на постраждалих користувачах, які згенерували seed-и за допомогою скомпрометованої прошивки, тож прямі фундаментальні показники BTC, імовірно, не змінилися.
У короткостроковій перспективі трейдери можуть побачити волатильність, зумовлену настроями, навколо самостійного зберігання та ризиків апаратних гаманців, особливо якщо повідомлятимуть про більше постраждалих адрес і кількість гаманців. Однак останні повідомлення свідчать, що вектори атак технічні та ґрунтуються на «address-sweep» (збиранні коштів із адрес), що обмежує поширення на ширші ринкові наративи.
У довгостроковій перспективі інцидент може помірно змістити попит у бік регульованих інвестиційних інструментів на Bitcoin із аудованим зберіганням (custody) та комплаєнсом, що є підтримувальним (хоч і непрямим) фактором для ринку. Якщо врахувати обидва ефекти разом, очікуваний вплив на ціну Bitcoin переважно нейтральний, а не чітко бичачий чи ведмежий.