Defekto en la programaro de Coldcard kaŭzis perdon de ĉirkaŭ 2,055 BTC (130 miliardoj da won)

La teamo de inĝenieroj kaj sekurecaj specialistoj de Block, same kiel la sendependaj evoluigantoj de Bitcoin Core, anoncis, ke la granda perditaĵo de la monujo Coldcard de Coinakite estis kaŭzita de specifa defekto en la programaro. Ĉi tiu defekto uzis la determinisman "fallback"-vojon de MicroPython, anstataŭ la hardware-bazitan generatoron de hazardaj nombroj (RNG) STM32, dum la generado de la "seed". Kiel rezulto, la kriptografia hazardeco de la "seed"-oj generitaj en la modeloj Mk2 kaj Mk3 estis reduktita al eta aro, kiun atakanto povus esplori. Eĉ la modeloj Mk4, Q kaj Mk5 nur generis ĉirkaŭ 72 bitojn da entropa valoro, multe malpli ol la dezirata normo de 128 bitoj. La problemplena firmware estas de versio 4.0.1 ĝis 4.1.9, kaj Coinstrike disvastigis ĝin dum proksimume 5 jaroj, de 2021 ĝis julio de ĉi tiu jaro. Kvankam la fontkodo estis publike disponebla, neniu defekto estis malkovrita dum tiu periodo. Laŭ la teknikaj notoj de Coinstrike, antaŭe estis konstatite, ke la korrekta hardware-bazita RNG (random number generator) ekzistas en la firmware, sed ne estis konfirmite, ĉu la semo-generada rutino efektive atingas tiun vojon. Laŭdire la damaĝo daŭre kreskis. Dum la unua atako, ĉirkaŭ 594 BTC estis ŝtelitaj de proksimume 500 cifre-monportfeliroj. Poste, esploristoj identigis pliajn tri atakojn, kaj pli ol 4,500 adresoj estis atingitaj, kun damaĝo de ĉirkaŭ 1,367 BTC (tiam valora ĉirkaŭ 89 milionoj da dolaroj). La 3-an de aŭgusto, estis raportita pri ebla kvara atako, kaj oni taksis, ke la damaĝo povus atingi ĉirkaŭ 114 milionojn da dolaroj. La 4-an de aŭgusto, Lookonchain kaj Galaxy Research raportis, ke la damaĝo estis taksata je 2,055 BTC, aŭ ĉirkaŭ 130 milionoj da dolaroj, kun pli ol 7,700 atingitaj adresoj. Tamen, Alex Sohn de Galaxy Digital avertis, ke nur per analizoj de la blokĉeno ne eblas definitive determini la rilaton inter kelkaj adresoj kaj la vulnerabla fermita aparato. Uzantoj, kiuj forte starigis sian BIP-39 pasfrazon kaj kiuj rulis la hazardilon pli ol 50 fojojn por aldoni eksteran entropion, ne estas rekte trafitaj de ĉi tiu specifa vulnerablo. Ĉar la BIP-39 pasfrazo estas kombinita kun la memorilo por derivi apartan monportfolion, eĉ se la baza vorto estas la sama, alia monportfolio estas kreita. Tamen, Coinstrike rekomendas migradon ankaŭ por ĉi tiuj uzantoj. Andrew Manuka, CISO de Zapło Bank, diris: