Wykorzystanie luki w portfelach Coldcard: błąd firmware miał umożliwić drenaż do 80 mln USD w 30 minut

Przez blisko pięć lat część portfeli sprzętowych Coldcard generowała klucze Bitcoina z poziomem losowości, który w praktyce przypominał słabe zabezpieczenie. Błąd pojawił się po przebudowie oprogramowania w marcu 2021 r. w wersji firmware 4.0.1. W jej wyniku sprzętowy generator liczb losowych (RNG) został zastąpiony programowym pseudolosowym generatorem (PRNG). Efekt: frazy seed wyglądały na bezpieczne, ale w rzeczywistości okazały się wielokrotnie łatwiejsze do złamania, niż zakładano. Napastnicy mieli zidentyfikować problem pod koniec lipca 2026 r. i przeprowadzić skoordynowane „zamiatanie” portfeli, które w mniej niż 30 minut opróżniło ok. 594 BTC (około 38 mln USD) z mniej więcej 500 portfeli. Według części szacunków łączne straty wszystkich poszkodowanych użytkowników mogły przekroczyć 1 300 BTC, czyli ponad 80 mln USD. Sedno problemu: entropia Bezpieczeństwo Bitcoina sprowadza się do losowości. Gdy portfel sprzętowy tworzy frazę seed, musi korzystać z wysokiej entropii, czyli realnej nieprzewidywalności, która sprawia, że odgadnięcie klucza prywatnego jest praktycznie niewykonalne. Branżowym punktem odniesienia jest 128 bitów entropii — przestrzeń tak ogromna, że brute force zająłby dłużej niż wiek Wszechświata. Firmware Coldcard 4.0.1 miało odejść od tego standardu. Zamiast dedykowanego, sprzętowego RNG (układu generującego liczby losowe na bazie szumu elektrycznego), kod zaczął domyślnie wykorzystywać programowy PRNG. Skutkiem była redukcja efektywnej entropii seedów do ok. 40 bitów w modelach Mk3 oraz do ok. 72 bitów w modelach Mk4, Mk5 i Q. Obie wartości są wyraźnie poniżej progu 128 bitów. Dla porównania: 40 bitów to około bilion kombinacji — liczba duża, ale możliwa do przeszukania przez współczesną infrastrukturę obliczeniową w godziny, a nie w stulecia. Atak i konsekwencje Skoordynowane „sweepy” portfeli miały rozpocząć się około 3031 lipca 2026 r. Atakujący nie musieli zdalnie włamywać się do urządzeń, wysyłać phishingu ani instalować malware. Wykorzystali słabość matematyczną w procesie generowania seedów, przeszukując ograniczoną przestrzeń kluczy w celu odtworzenia kluczy prywatnych. W jednej z akcji ucierpiało około 500 portfeli, z których odpłynęło ok. 594 BTC w mniej niż pół godziny. Tempo i precyzja sugerowały wcześniejsze przygotowanie — możliwe, że napastnicy wyliczyli dużą pulę podatnych seedów, a następnie jednocześnie zlecili transfery. Coinkite, producent Coldcard, udostępnił poprawkę firmware usuwającą błąd. Sama aktualizacja nie rozwiązuje jednak problemu fraz seed wygenerowanych wcześniej przy niskiej entropii. Użytkownicy, którzy tworzyli portfele na podatnych wersjach, powinni wygenerować zupełnie nowe seedy bezpieczną metodą i przenieść środki. Coinkite rekomendował m.in. użycie fizycznych rzutów kośćmi, aby zapewnić wysoką entropię przy tworzeniu nowej frazy. Firma ostrzegła też, aby nie generować nowych seedów na urządzeniach bez zainstalowanej poprawki. Powrót sporu o samodzielną custody Incydent ponownie rozgrzał dyskusję o tym, czy samodzielne przechowywanie środków (self-custody) jest bezpieczniejsze niż powierzenie ich giełdzie. Część poszkodowanych użytkowników miała natychmiast przenieść pozostałe BTC na platformy scentralizowane. Nie był to wyrafinowany atak typu "zero-day" ani operacja państwowa, tylko regresja po aktualizacji firmware. To, że błąd miał utrzymywać się od marca 2021 r. do połowy 2026 r., stawia pytania o procesy audytu i testów w Coinkite oraz szerzej — w całym segmencie portfeli sprzętowych.