Kvůli chybě v firmwaru zařízení Coldcard došlo ke ztrátě přibližně 2 055 BTC (130 miliard wonů)

Tým pro bitcoinové inženýrství a bezpečnost společnosti Block, spolu s nezávislými vývojáři jádra Bitcoinu, zveřejnil zprávu, v níž uvedl, že rozsáhlé ztráty spojené s peněženkou CoinKite ColdCard byly způsobeny konkrétní chybou v firmwaru. Tato chyba způsobila, že při generování klíčů se místo hardwarového generátoru náhodných čísel STM32 používala deterministická cesta Yasmarang v MicroPythonu. V důsledku toho byla kryptografická náhodnost klíčů generovaných v modelech Mk2 a Mk3 výrazně snížena, což umožnilo útočníkům provést vyčerpávající vyhledávání v omezené množině možností. Modely Mk4, Q a Mk5 také generovaly pouze přibližně 72 bitů entropie, což je výrazně pod stanoveným standardem 128 bitů. Firmware, který je předmětem této diskuze, má verze od 4.0.1 do 4.1.9 a společnost Coinstrike jej distribuovala v průběhu přibližně pěti let, od roku 2021 do července letošního roku. Přestože byl zdrojový kód veřejně dostupný, žádné chyby nebyly v tomto období odhaleny. Podle technických poznámek společnosti Coinstrike bylo v předchozí revizi potvrzeno, že správný hardwarový generátor náhodných čísel (RNG) je přítomen v binárním souboru firmwaru, nicméně nebylo možné ověřit, zda rutina pro generování klíčů skutečně dosahuje této části kódu. Rozsah škod se neustále rozšiřoval. V počáteční vlně byly z přibližně 500 peněženek odcizeny 594 bitcoiny. Následně výzkumníci identifikovali další tři vlny útoků, při kterých byly z více než 4 500 adres odcizeny přibližně 1 367 bitcoiny (v té době v hodnotě přibližně 89 milionů dolarů). Dne 3. srpna byla hlášena potenciální čtvrtá vlna, což naznačovalo, že celková škoda by mohla dosáhnout přibližně 114 milionů dolarů. Aktualizace společností Lookonchain a Galaxy Research ze 4. srpna odhadovala škodu na 2 055 bitcoinech, což je přibližně 130 milionů dolarů, a na více než 7 700 postižených adresách. Alex Sohn z Galaxy Digital však varoval, že pouze na základě vzorců v blockchainu nelze s jistotou určit spojitost mezi některými adresami a zranitelným firmwarem chladných peněženek. Uživatelé, kteří nastavili silné heslo podle standardu BIP-39 a kteří více než 50krát generovali náhodná čísla pro přidání externí entropie, nebyli přímo zasaženi touto konkrétní zranitelností. Heslo podle standardu BIP-39, kombinované s mnemotechnickou sadou, umožňuje odvodit samostatný klíč peněženky, takže i když je základní slovo stejné, vytvoří se jiná peněženka. Společnost CoinKite i přesto doporučila těmto uživatelům migraci. Andrew Manuka, CISO společnosti Zapro Bank, uvedl: