Luka w oprogramowaniu karty Cold Card spowodowała straty w wysokości 114 miliardów wonów… Ograniczenia portfeli typu "air-gapped"

Portfele typu "airgap" to sprzętowe portfele kryptowalut, które są fizycznie odizolowane od wszelkich form komunikacji bezprzewodowej, w tym Wi-Fi, Bluetooth i NFC, a także od Internetu. Ich największą zaletą jest minimalna podatność na ataki złośliwego oprogramowania i zdalne włamania, ponieważ klucze prywatne nie są narażone na ekspozycję w środowisku online. Do najbardziej znanych producentów należą firmy takie jak ELLIPAL (oparta na kodach QR), Keystone, Foundation Devices (Passport), Blockstream (Jade) oraz CoinKite, która produkuje karty "cold storage". Z kolei urządzenia Ledger i Trezor, które łączą się za pomocą USB lub Bluetooth, nie spełniają ścisłej definicji portfeli "airgap". Karta Coldcard, wprowadzona na rynek w 2017 roku, obsługuje podpisy offline za pomocą kart microSD i kodów QR, a od dawna jest uważana za jedno z najbezpieczniejszych rozwiązań wśród sprzętowych portfeli Bitcoin. Jednak pod koniec lipca 2026 roku, producent CoinKite ujawnił, że z powodu błędu w oprogramowaniu, wprowadzonym w marcu 2021 roku, niektóre urządzenia Coldcard generują frazy seed w znacznie mniejszym zakresie niż to było zamierzone. Oznacza to znaczne zmniejszenie losowości niezbędnej do ochrony kluczy prywatnych, co stwarza sytuację, w której atakujący mogą znacznie szybciej odgadnąć klucze prywatne, wykorzystując sztuczną inteligencję lub specjalne oprogramowanie. Firma Galaxy Research przeanalizowała incydent związany z wykorzystaniem luki w zabezpieczeniach "cold wallet" i stwierdziła, że wydarzenie to rozwinęło się w kilku etapach. Początkowo zgłoszono straty na poziomie około 8,8 miliona dolarów, jednak w ciągu kilku dni straty te wzrosły do prawie 114 milionów dolarów, w tym znaczne straty w bitcoinach. Pomimo ostrzeżeń przekazanych przez zespół badawczy, wielu użytkowników "cold wallet" przeniosło swoje bitcoiny z narażonych adresów, jednak obawy dotyczące potencjalnych ataków na inne, podatne adresy wciąż pozostają. Niniejszy incydent podkreśla ograniczenia związane z samym systemem "air gap", a raczej ryzyko związane z łańcuchem dostaw, które jest inherentne dla produktów takich jak portfele sprzętowe. Nawet jeśli portfel nie jest podłączony do Internetu, użytkownik ostatecznie musi zaufać jakości oprogramowania (firmware) producenta, algorytmom generowania liczb losowych oraz praktykom rozwoju oprogramowania. "Air gap" stanowi ważną warstwę ochrony, ale nie gwarantuje całkowitej odporności urządzenia na luki w zabezpieczeniach. Specjaliści ds. bezpieczeństwa wielokrotnie podkreślają, że posiadacze kryptowalut powinni unikać pojedynczych punktów awarii, czyli nie powinni przechowywać wszystkich swoich aktywów w jednym miejscu. Ponadto, przypominają o podstawowych zasadach, takich jak bezpieczne przechowywanie kluczy odzyskiwania, konieczność weryfikacji transakcji przed podpisaniem oraz dbałość o bezpieczeństwo urządzeń fizycznych.