Zranitelnost firmwaru zařízení Coldcard způsobila škody v hodnotě 114 miliard wonů... Omezení izolovaných (air-gapped) peněženek

Airgapové peněženky jsou hardwarové peněženky, které jsou fyzicky odpojeny od všech bezdrátových komunikací a internetu, včetně Wi-Fi, Bluetooth a NFC. Jejich hlavní výhodou je, že soukromé klíče nejsou vystaveny online prostředí, což výrazně snižuje riziko útoků malwaru a vzdáleného hackování. Mezi nejznámější výrobce patří společnosti ELLIPAL, Keystone a Foundation Devices (Passport), které používají QR kódy, dále Blockstream (Jade) a CoinKite, která vyrábí cold karty. Naopak, Ledger a Trezor se připojují přes USB nebo Bluetooth, a proto se v přísném slova smyslu nejedná o airgapové peněženky. Zařízení Coldcard, uvedené na trh v roce 2017, podporuje offline podepisování pomocí microSD karty a QR kódů a dlouhodobě je považováno za jedno z nejbezpečnějších hardwarových peněženek pro Bitcoin. Nicméně, koncem července 2026 společnost CoinKite, výrobce zařízení, zveřejnila, že některé modely Coldcard generují seed fráze v mnohem menším rozsahu, než bylo původně zamýšleno, a to kvůli chybě v firmwaru zavedené v březnu 2021. To znamená výrazné snížení náhodnosti potřebné pro ochranu soukromých klíčů, což umožňuje útočníkům pomocí umělé inteligence nebo specializovaného softwaru mnohem rychleji odhadnout tyto klíče. Společnost Galaxy Research analyzovala, že tento útok typu „cold card exploit“ proběhl v několika vlnách. Zjištěné škody se původně pohybovaly kolem 8,8 milionů dolarů, ale během několika dní se zvýšily na téměř 114 milionů dolarů v podobě ztracených bitcoinů. Po varování výzkumníků mnoho uživatelů „cold card“ přesunulo své bitcoiny z postižených adres, nicméně obavy z toho, že další zranitelné adresy mohou být cílem, stále přetrvávají. Tento případ spíše poukazuje na rizika v dodavatelském řetězci, která jsou inherentní samotnému produktu, kterým je hardwarová peněženka, než na omezení samotné metody "air gap". I když je peněženka odpojena od internetu, uživatel nakonec musí důvěřovat kvalitě firmwaru výrobce, logice generování náhodných čísel a postupům vývoje softwaru. "Air gap" představuje důležitou vrstvu ochrany, ale nezaručuje, že zařízení bude zcela bez zranitelností. Odborníci na bezpečnost opakovaně zdůrazňují, že držitelé kryptoměn by se měli vyvarovat jediného bodu selhání, což znamená, že by neměli ukládat veškerá svá aktiva na jednom místě. Kromě toho připomínají základní principy, jako je bezpečné uložení obnovovacích frází, důkladná kontrola transakcí před podpisem a důraz na fyzickou bezpečnost zařízení.