Atak na portfele Coldcard ujawnia 5-letnią lukę w firmware. Skradziono bitcoiny warte ponad 100 mln USD

Cory Klippsten przebywał na weselu w Paryżu, gdy zaczęły spływać wiadomości. Jak powiedział w rozmowie, dla wielu posiadaczy bitcoina był to "brutalny weekend". "O 4 rano wysyłałem wiadomości, żeby pomóc komuś w strefie czasu Pacyfiku przenieść monety w bezpieczne miejsce" — relacjonował CEO Swan. Do zdarzeń doszło w ubiegły czwartek, gdy napastnicy rozpoczęli opróżnianie bitcoinów z tysięcy sprzętowych portfeli Coldcard, wykorzystując błąd w oprogramowaniu układowym, który pozostawał niewykryty przez pięć lat. Źródłem problemu miała być aktualizacja firmware z marca 2021 r. przygotowana przez Coinkite — wada sprawiała, że klucze prywatne użytkowników były słabiej zabezpieczone, niż powinny. Według Galaxy Research po trzech falach ataków z ok. 7,300 adresów zniknęło niemal 1,600 BTC o wartości przekraczającej 100 mln USD. Swan, amerykańska platforma pomagająca kupować, przechowywać i samodzielnie zabezpieczać bitcoina, wstrzymała wypłaty dla klientów uznanych za narażonych, wysłała ostrzeżenia w aplikacji i uruchomiła wsparcie migracji także dla osób spoza bazy użytkowników. "Nasz zespół przerwał wszystko, żeby zacząć dzwonić do klientów. Potem otworzyliśmy pomoc dla każdego, kto jej potrzebował, niezależnie od tego, czy kiedykolwiek był klientem Swan" — mówił Klippsten. Tydzień po ataku niemal 90% skradzionych środków pozostaje nieruszone w łańcuchu. Zweryfikowane adresy atakujących przekazano amerykańskim federalnym organom ścigania. Coinkite z Toronto wdrożyło poprawki we wszystkich liniach urządzeń objętych problemem. Zespół wolontariuszy finansowany przez OpenSats przeanalizował ponad 150 repozytoriów open source i nie znalazł dowodów, by podatność wykraczała poza Coldcard. Incydent wywołał w branży dyskusję o sensie samodzielnej opieki nad aktywami (self-custody). Część komentatorów sugerowała, że inwestorzy powinni rozważyć ekspozycję na bitcoina przez instrumenty takie jak fundusze ETF, zamiast trzymać środki samodzielnie. Klippsten przekonuje jednak, że klienci nie wycofują się z self-custody — raczej szukają sposobów, by utrudnić dostęp do swoich bitcoinów. "Ludzie przenoszą się teraz do Swan Vault" — powiedział, odnosząc się do wielostronnego rozwiązania multisig, w którym żadne pojedyncze urządzenie nie jest w stanie narazić środków użytkownika. "Zamiast porzucać self-custody, wielu je ulepsza". Ocena Klippstena pozostaje ostrożnie optymistyczna: "To straszne, że ludzie stracili monety, mimo że robili wszystko zgodnie z tym, co mówiło wielu znanych w branży. Ale Bitcoin jest antykruchy, a narzędzia z każdą godziną stają się mocniejsze. To może się okazać najlepszą rzeczą, jaka kiedykolwiek przydarzyła się self-custody".