دارندگان بیت کوین پس از حمله Coldcard در مورد ذخیره سازی تجدید نظر می کنند

ذخیره سازی سرد که مدت ها به عنوان سنگر نهایی در برابر هک معرفی می شد، به تازگی یکی از بزرگترین مشکلات خود را متحمل شده است. یک آسیب‌پذیری نرم‌افزاری حیاتی که بر کیف پول‌های Coldcard تأثیر می‌گذارد، سرقت ده‌ها میلیون دلار بیت‌کوین را امکان‌پذیر کرد و سؤالات مربوط به محدودیت‌های خود حضانت را احیا کرد. این مورد در حالی رخ می دهد که بازار با افزایش 7.36 درصدی جولای تحت فشار ناشی از برداشت های عظیم نهادی و نزدیک شدن به دو ارتقای پروتکل اصلی که در ماه آگوست پیش بینی می شود، شروع شد. به طور خلاصه، یک نقص امنیتی 5 ساله باعث شد تا 1082.65 بیت کوین (حدود 70 میلیون دلار) از 1196 آدرس تنها در 41 دقیقه استخراج شود. به روز رسانی سیستم عامل Coinkite کافی نیست. کاربران آسیب دیده باید یک عبارت بازیابی جدید ایجاد کنند و وجوه خود را انتقال دهند. موسس بایننس تنوع کیف پول های فیزیکی را توصیه می کند و در عین حال یادآوری می کند که هیچ ابزار ذخیره سازی 100% ضد خطا نیست. بازار در آستانه دو ضرب‌الاجل کلیدی است: رای استخراج‌کنندگان به سافت فورک BIP-110 (7 اوت) و تقسیم احتمالی به eCash (21 اوت). یک حمله هماهنگ با هدف قرار دادن یک آسیب‌پذیری پنج ساله در 30 جولای، در حالی که بازار ارزهای دیجیتال وارد مرحله تمرکز بی‌سابقه‌ای شده بود، اکوسیستم خود نگهبانی توسط یک عملیات مخرب مورد حمله قرار گرفت. یک آسیب‌پذیری حیاتی واقع در مولد آنتروپی شبه تصادفی سفت‌افزار کیف پول سخت‌افزاری Coldcard، به‌ویژه مدل‌های Mk3 که کد آن‌ها به مارس ۲۰۲۱ بازمی‌گردد، در مقیاس وسیع مورد سوء استفاده قرار گرفت.جزئیات واقعی این حمله به شرح زیر است: مقدار سرقت شده: بر اساس تجزیه و تحلیل Galaxy Research، استخراج 1082.65 بیت کوین از 1196 آدرس متمایز؛ سرعت اجرا: کل سرقت تنها در 41 دقیقه رخ داده است. ردپای روی زنجیره: استفاده از هزینه های ثابت 30 sat/vB بدون تغییر آدرس، منحصراً کیف پول های تک امضا را هدف قرار می دهد. منشأ فنی: این نقص امکان بازسازی آفلاین کلیدهای خصوصی را از روی شماره سریال مؤلفه و داده‌های مهر زمانی قابل پیش‌بینی را فراهم می‌کرد. Coinkite در مواجهه با وسعت افشاگری‌ها و چند برابر شدن انتقال‌های مشکوک به پلتفرم‌های صرافی، یک وصله نرم‌افزاری را برای به‌روزرسانی سیستم‌افزار دستگاه‌های خود عجله کرد. با این حال، این شرکت یک هشدار جدی به کاربران خود صادر کرد و تاکید کرد که یک به‌روزرسانی ساده سیستم عامل در پاکسازی عبارت بازیابی ایجاد شده قبل از وصله کاملاً بی‌اثر است. در واقع، هنگامی که یک عبارت یادگاری توسط یک الگوریتم معیوب تولید شد، ساختار آن بدون توجه به وضعیت بعدی سخت افزار، خوانا و آسیب پذیر باقی می ماند.