Λόγω ευπάθειας στο λογισμικό των συσκευών Cold Card, προκλήθηκαν ζημιές ύψους 114 δισεκατομμυρίων γουόν... Περιορισμοί των πορτοφολιών με απομόνωση δικτύου

Τα πορτοφόλια τύπου "air-gapped" είναι μη διαχειριζόμενα υλικό πορτοφόλια που είναι φυσικά απομονωμένα από οποιαδήποτε ασύρματη επικοινωνία, συμπεριλαμβανομένων των Wi-Fi, Bluetooth και NFC, καθώς και από το διαδίκτυο. Το μεγαλύτερο πλεονέκτημά τους είναι ότι το ιδιωτικό κλειδί δεν εκτίθεται στο διαδίκτυο, γεγονός που μειώνει σημαντικά την επιφάνεια επίθεσης από κακόβουλο λογισμικό ή απομακρυσμένες επιθέσεις hacking. Μερικοί από τους πιο γνωστούς κατασκευαστές περιλαμβάνουν την ELLIPAL, την Keystone, την Foundation Devices (Passport), την Blockstream (Jade) και την CoinKite, οι οποίες χρησιμοποιούν κωδικούς QR. Αντίθετα, τα Ledger και Trezor συνδέονται μέσω USB ή Bluetooth, και επομένως δεν θεωρούνται αυστηρά πορτοφόλια τύπου "air-gapped". Η κάρτα Coldcard, η οποία κυκλοφόρησε το 2017, υποστηρίζει την εκτός σύνδεσης υπογραφή μέσω κάρτας MicroSD και κωδικού QR, και θεωρείται εδώ και καιρό ένα από τα πιο ασφαλή προϊόντα στον χώρο των υλικών πορτοφολιών Bitcoin. Ωστόσο, στα τέλη Ιουλίου του 2026, ο κατασκευαστής CoinKite ανακοίνωσε ότι ορισμένες κάρτες Coldcard, λόγω ενός σφάλματος στο λογισμικό που εισήχθη τον Μάρτιο του 2021, δημιουργούσαν φράσεις κλειδιών σε ένα πολύ μικρότερο εύρος από ό,τι ήταν προβλεπόμενο. Αυτό σημαίνει ότι η τυχαιότητα που απαιτείται για την προστασία των ιδιωτικών κλειδιών μειώθηκε σημαντικά, καθιστώντας ευκολότερο για έναν εισβολέα να μαντέψει τα ιδιωτικά κλειδιά χρησιμοποιώντας τεχνητή νοημοσύνη ή εξειδικευμένο λογισμικό. Η εταιρεία Galaxy Research ανέλυσε ότι η συγκεκριμένη επίθεση τύπου "cold card exploit" εξελίχθηκε σε πολλαπλά κύματα. Οι αρχικές ζημιές εκτιμήθηκαν σε περίπου 8,8 εκατομμύρια δολάρια, ενώ μέσα σε λίγες ημέρες οι απώλειες σε Bitcoin ανήλθαν σχεδόν στα 114 εκατομμύρια δολάρια. Μετά την προειδοποίηση των ερευνητών, πολλοί χρήστες "cold card" μετακίνησαν τα Bitcoin τους από τις αρχικές διευθύνσεις, ωστόσο, παραμένει η ανησυχία ότι επιπλέον ευάλωτες διευθύνσεις ενδέχεται να αποτελέσουν στόχο. Η παρούσα υπόθεση αναδεικνύει περισσότερο τους κινδύνους της εφοδιαστικής αλυσίδας που εμπεριέχονται στα προϊόντα που ονομάζονται "hardware wallets" (ψηφιακά πορτοφόλια), παρά τους περιορισμούς της ίδιας της μεθόδου "air gap". Ακόμα και αν το πορτοφόλι δεν είναι συνδεδεμένο στο διαδίκτυο, ο χρήστης τελικά βασίζεται στην ποιότητα του firmware του κατασκευαστή, στους αλγορίθμους δημιουργίας τυχαίων αριθμών και στις πρακτικές ανάπτυξης λογισμικού. Το "air gap" αποτελεί ένα σημαντικό επίπεδο ασφάλειας, αλλά δεν εγγυάται ότι η συσκευή είναι εντελώς απαλλαγμένη από ευπάθειες. Οι ειδικοί στην ασφάλεια τονίζουν επανειλημμένα ότι οι κάτοχοι κρυπτονομισμάτων πρέπει να αποφεύγουν τα σημεία ενιαίας αποτυχίας, δηλαδή να μην αποθηκεύουν όλα τα περιουσιακά τους στοιχεία σε ένα μόνο μέρος. Επιπλέον, υπενθυμίζουν τις βασικές αρχές, όπως η ασφαλής αποθήκευση των κωδικών ανάκτησης, η αυστηρή επαλήθευση των συναλλαγών πριν από την υπογραφή τους και η προσοχή στην ασφάλεια των φυσικών συσκευών.