Dahil sa kahinaan sa firmware ng Cold Card, nagdulot ito ng pagkalugi na 114 bilyong won... Limitasyon ng mga wallet na may air gap

Ang mga airgap wallet ay mga hardware wallet na hindi nakakonekta sa anumang uri ng wireless communication, tulad ng Wi-Fi, Bluetooth, at NFC, pati na rin sa internet. Ito ay isang uri ng non-custodial wallet. Ang pinakamalaking bentahe nito ay ang napakaliit na posibilidad na ma-compromise ito ng malware o remote hacking dahil ang pribadong susi ay hindi nalalantad sa online environment. Ilan sa mga kilalang manufacturer ay ang ELLIPAL, Keystone, Foundation Devices (Passport), Blockstream (Jade), at CoinKite, na gumagamit ng QR code. Sa kabilang banda, ang Ledger at Trezor ay kumokonekta sa pamamagitan ng USB o Bluetooth, kaya hindi sila maituturing na tunay na airgap wallet. Noong 2017, inilunsad ang Coldcard, isang device na sumusuporta sa offline na pag-sign gamit ang microSD card at QR code. Ito ay itinuturing na isa sa mga pinakaligtas na hardware wallet para sa Bitcoin, at matagal na itong kinilala dahil sa kanyang seguridad. Gayunpaman, noong huling bahagi ng Hulyo 2026, inihayag ng tagagawa, CoinKite, na may ilang Coldcard device na lumilikha ng seed phrase sa isang mas maliit na pool kaysa sa orihinal na nilalayon, dahil sa isang error sa firmware na ipinatupad noong Marso 2021. Ito ay nangangahulugan na ang antas ng randomness na kinakailangan para sa proteksyon ng pribadong susi ay lubhang nabawasan, na nagbibigay-daan sa mga attacker na mas mabilis na hulaan ang pribadong susi gamit ang AI o espesyal na software. Ang Galaxy Research ay nagsuri na ang insidenteng ito ng "cold card exploit" ay naganap sa maraming yugto. Sa loob lamang ng ilang araw, ang napansing pinsala ay umabot na sa halos 114 milyong dolyar, mula sa orihinal na 8.8 milyong dolyar, dahil sa pagkawala ng mga Bitcoin. Matapos ang babala ng mga mananaliksik, maraming gumagamit ng "cold card" ang naglipat ng kanilang mga Bitcoin mula sa mga lumang address, ngunit nananatili pa rin ang pangamba na maaaring maging target ang iba pang mga mahihinang address. Ang insidenteng ito ay hindi gaanong nagpapakita ng limitasyon ng mismong paraan ng "air gap," kundi ng mga panganib sa supply chain na likas sa produktong "hardware wallet." Kahit na hindi nakakonekta ang wallet sa internet, ang gumagamit ay sa huli ay nagtitiwala sa kalidad ng firmware ng tagagawa, sa mekanismo ng pagbuo ng random na numero, at sa mga pamamaraan ng pagbuo ng software. Ang "air gap" ay isang mahalagang proteksyon, ngunit hindi ito garantiya na ang aparato ay ganap na ligtas mula sa mga kahinaan. Binibigyang-diin ng mga eksperto sa seguridad na dapat iwasan ng mga may-ari ng cryptocurrency ang pagkakaroon ng "single point of failure," ibig sabihin, hindi dapat ilagay ang lahat ng kanilang assets sa iisang lugar. Dagdag pa rito, dapat nilang tandaan ang mga pangunahing prinsipyo tulad ng pag-iingat sa mga recovery phrase, pagsusuri sa mga transaksyon bago ito lagdaan, at pagbibigay-pansin sa seguridad ng mga pisikal na aparato.