Softverska ranjivost u sistemu Cold Card je izazvala štetu od 114 milijardi vona... Ograničenja "air-gap" novčanika

Airgap novčanici su hardverski novčanici koji su fizički odvojeni od svih bežičnih komunikacija, uključujući Wi-Fi, Bluetooth i NFC, kao i od interneta. Najveća prednost je što privatni ključevi nisu izloženi online okruženju, što drastično smanjuje rizik od napada zlonamernog softvera ili daljinskog hakovanja. Neki od vodećih proizvođača su ELLIPAL, Keystone i Foundation Devices (Passport), koji koriste QR kodove, kao i Blockstream (Jade) i CoinKite, koji proizvode cold card uređaje. S druge strane, Ledger i Trezor se povezuju putem USB ili Bluetooth, pa se stoga ne smatraju pravim airgap novčanicima. Kard Cold, lansiran 2017. godine, podržava offline potpisivanje pomoću microSD kartice i QR kodova, i dugo je bio ocenjen kao jedan od najbezbednijih hardverskih novčanika za Bitcoin. Međutim, krajem jula 2026. godine, proizvođač CoinKite je objavio da određeni modeli Cold kard generišu seed fraze u mnogo manjem skupu mogućnosti od predviđenog, zbog greške u firmware-u koja je uvedena još u martu 2021. godine. To znači da je značajno smanjena slučajnost koja je neophodna za zaštitu privatnih ključeva, što omogućava napadačima da mnogo brže pogode privatne ključeve koristeći veštačku inteligenciju ili specijalizovani softver. Kompanija "Galaxy Research" je analizirala ovaj napad tipa "cold card exploit" i zaključila da se on odigrao u nekoliko talasa. Uočeni gubici su se u početku iznosili oko 8,8 miliona dolara, a za nekoliko dana su porasli na gotovo 114 miliona dolara u obliku izgubljenih bitkoina. Nakon upozorenja istraživača, mnogi korisnici "cold card" uređaja su prebacili svoje bitkoine sa ranjivih adresa, ali i dalje postoji zabrinutost da bi dodatne, ranjive adrese mogle postati meta napada. Ovaj incident više naglašava rizike u lancu snabdevanja koji su inherentni za hardverske novčanike, nego same ograničenja načina rada "air gap" sistema. Čak i ako novčanik nije povezan na internet, korisnik na kraju mora da veruje kvalitetu firmvera proizvođača, logici generisanja slučajnih brojeva i praksi razvoja softvera. "Air gap" predstavlja važan sloj zaštite, ali ne garantuje da je uređaj potpuno imun na ranjivosti. Stručni eksperti za bezbednost ponavljaju da vlasnici kriptovaluta treba da izbegavaju pojedinačne tačke kvara, odnosno da ne čuvaju sva svoja sredstva na jednom mestu. Takođe, ponovo naglašavaju osnovne principe, kao što su bezbedno čuvanje ključeva za oporavak, obavezna verifikacija svih transakcija pre potpisivanja i pažnja posvećena bezbednosti fizičkih uređaja.