कोल्ड कार्ड के फर्मवेयर में खराबी के कारण लगभग 2,055 बिटकॉइन (1,300 करोड़ रुपये) का नुकसान हुआ है।

ब्लॉकचेन के बिटकॉइन इंजीनियरिं और सुरक्षा दल, और स्वतंत्र बिटकॉइन कोर डेवलपर्स ने मिलकर कॉइनकाइट कोल्ड कार्ड वॉलेट में हुए बड़े नुकसान की वजह एक विशेष फर्मवेयर त्रुटि बताई है। इस त्रुटि के कारण, सीड (seed) बनाने की प्रक्रिया में STM32 हार्डवेयर रैंडम नंबर जनरेटर (RNG) के बजाय, माइक्रो पाइथन का एक पूर्वनिर्धारित 'यास्मारांग' (Yasmarang) पाथ इस्तेमाल किया गया। इसके परिणामस्वर, Mk2 और Mk3 मॉडल में उत्पन्न होने वाले सीड की क्रिप्टोग्राफिक यादृच्छिकता कम हो गई, जिससे हमलावरों के लिए इसे पूरी तरह से खोजना आसान हो गया। Mk4, Q और Mk5 मॉडल में भी, केवल लगभग 72 बिट्स की एन्ट्रॉपी उत्पन्न होती थी, जो कि डिज़ाइन के अनुसार 128 बिट्स से बहुत कम थी। यह त्रुटिपूर्ण फर्मवेयर संस्करण 4.0.1 से लेकर 4.1.9 तक था, जिसे कॉइनकाइट ने 2021 से लेकर इस साल जुलाई तक वितरित किया था। हालांकि, सोर्स कोड सार्वजनिक होने के बावजूद, इस त्रुटि को उस दौरान नहीं पहचाना गया। कॉइनकाइट के तकनीकी नोट के अनुसार, पहले की समीक्षाओं में यह पुष्टि की गई थी कि फर्मवेयर बाइनरी में सही हार्डवेयर RNG मौजूद था, लेकिन यह जांचा नहीं गया कि सीड बनाने की प्रक्रिया वास्तव में उस पाथ का उपयोग कर रही है या नहीं। इस घटना से होने वाले नुकसान का दायरा लगातार बढ़ रहा है। शुरुआती हमलों में, लगभग 500 वॉलेट से 594 BTC चोरी हो गए थे। बाद में, शोधकर्ताओं ने तीन और हमलों की पहचान की, जिसके परिणामस्वर 4,500 से अधिक एड्रेस से लगभग 1,367 BTC (उस समय लगभग 89 मिलियन डॉलर) का नुकसान हुआ। 3 अगस्त को, चौथे हमले की संभावना की रिपोर्ट आई, जिससे अनुमान लगाया गया कि नुकसान लगभग 114 मिलियन डॉलर तक पहुंच सकता है। 4 अगस्त को लूकऑनचेन और गैलेक्सी रिसर्च द्वारा जारी किए गए अपडेट में, नुकसान को 2,055 BTC, यानी लगभग 130 मिलियन डॉलर, और 7,700 से अधिक प्रभावित एड्रेस तक आंका गया। हालांकि, गैलेक्सी डिजिटल के एलेक्स सून ने चेतावनी दी कि केवल ब्लॉकचेन पैटर्न के आधार पर, कुछ एड्रेस और कमजोर कोल्ड कार्ड फर्मवेयर के बीच संबंध को निश्चित रूप से नहीं कहा जा सकता। जिन उपयोगकर्ता ने BIP-39 पासफ्रेज को मजबूत तरीके से सेट किया है, और जिन्होंने 50 बार से अधिक डाइस रोल करके बाहरी एन्ट्रॉपी जोड़ी है, वे इस विशेष भेद्यता से सीधे प्रभावित नहीं हुए हैं। BIP-39 पासफ्रेज, निमोनिक के साथ मिलकर, एक अलग वॉलेट सीड उत्पन्न करता है, इसलिए, भले ही आधार शब्द समान हों, एक अलग वॉलेट बनाया जाता है। फिर भी, कॉइनकाइट ने इन उपयोगकर्ता को भी माइग्रेशन की सलाह दी है। जैपो बैंक के CISO, एंड्रयू मनुका ने कहा: