Coldcard apeluje o natychmiastową migrację środków. Trwający atak opróżnił portfele na 114 mln USD

Zespół stojący za portfelem Coldcard wzywa użytkowników do pilnego przeniesienia bitcoinów. We wtorek firma potwierdziła, że exploit, który opróżnił już samodzielnie przechowywane portfele na łączną kwotę nawet 114 mln USD, nadal jest aktywny. "Potraktujcie to jako pilne. Migrujcie swoje środki" – przekazała spółka, prosząc też o ostrzeżenie osób "mniej online", które mogły nie zauważyć komunikatu. To właśnie te portfele są najbardziej narażone, bo poprawkę trzeba wdrożyć ręcznie. Ostrzeżenie nie ma charakteru profilaktycznego. CoinDesk informował w poniedziałek, że możliwa czwarta fala "sweepów" trwała przez cały dzień: według zaktualizowanych danych Galaxy Research z 709 adresów zniknęło ok. 449 BTC. Skumulowane straty wzrosły z ok. 89 mln USD do nawet 114 mln USD. Źródłem problemu jest błąd w firmware, który pozostawał uśpiony od 2021 r. Jak pisał CoinDesk w piątek, zagrożone są konfiguracje, w których pojedynczy klucz wystarcza do kontroli środków bez dodatkowej autoryzacji – ryzyko utrzymuje się do czasu działania ze strony właściciela. W praktyce dotyczy to wybranych urządzeń i wersji oprogramowania. Użytkownicy modelu Mk3 (wersja z 2019 r.) powinni przenieść środki natychmiast, jeśli portfel został skonfigurowany na firmware 4.0.1 lub nowszym. Coinkite wskazuje wyjątek: osoby, które skorzystały z opcji "dice", czyli fizycznie rzuciły kośćmi co najmniej 50 razy i ręcznie wpisały wyniki. W takim przypadku klucz powstaje z wprowadzonych liczb zamiast zostać wygenerowany przez urządzenie, dzięki czemu portfele te nie miały kontaktu z wadliwym fragmentem kodu i są bezpieczne. Posiadacze Mk4, Mk5 oraz Q z firmware niższym niż 5.6.0 lub 1.5.0Q powinni zaktualizować urządzenie, utworzyć nowy portfel (nowy seed), a następnie przenieść na niego środki. Seed to główny klucz kontrolujący monety w portfelu. Jeśli został wygenerowany z niewystarczającą losowością, napastnik może go odgadnąć i odtworzyć, a potem opróżnić portfel bez fizycznego kontaktu z urządzeniem. "Każdy portfel ostatecznie opiera się na sekrecie źródłowym wygenerowanym z wysokiej jakości entropii" – napisał Bouzon w e-mailu do CoinDesk. Dodał, że jej generowanie "musi być zakotwiczone w bezpiecznym sprzęcie, z architekturą, która nie pozwala na ciche przejście na nieufne, programowe źródło". Zaznaczył też, że alternatywy są gorsze: portfele programowe na niezabezpieczonym sprzęcie niosą większe ryzyko, a przekazanie środków na scentralizowaną giełdę "nie jest własnością, tylko IOU". We wtorek we wczesnych godzinach w USA bitcoin był notowany w okolicach 63"800 USD i – według danych CoinDesk – reagował na ostrzeżenie portfela niewielkimi zmianami.