Kripto sahipleri, geçmişte coinlerini çeşitlendirmeye odaklanıyordu. Şimdi ise, 70 milyon dolarlık Coldcard açığının ardından, cüzdanlarını da çeşitlendirmeleri tavsiye ediliyor.
Cumartesi günü, Binancein kurucusu Changpeng Zhao, CZ olarak bilinen, popüler Coldcard donanım cihazlarındaki büyük bir güvenlik açığının ardından kripto sahiplerine fonlarını birden fazla cüzdana bölmelerini tavsiye etti.
“Donanım cüzdanlarının bile hataları olabilir. Uzun geçmişe sahip eski cüzdanların da hataları olabilir. Nasıl azaltılır？ Fonlarınızı birkaç cüzdana bölmek belki？ Bunun farklı bir risk seti vardır. Hiçbir şey %100 değil. Bilgili kalın. Güvende kalın!,” dedi.
30 Temmuz'da bazı bitcoin kullanıcıları, Coldcard cüzdanlarındaki fonların beklenmedik bir dizi işlemle çalındığını keşfettiler. Saldırgan, Mart 2021'e dayanan ve belirli Coldcard modellerinde kurtarma tohumlarını oluşturmak için kullanılan rastlantısallığı zayıflatan bir donanım yazılımı açığından yararlandı. Özel anahtarları çevrimdışı yeniden oluşturarak, saldırgan cihazlara fiziksel olarak erişmeden fonları boşaltabildi.
İlk raporlar, o dönemde değeri 38 milyon dolar olan yaklaşık 594 BTCnin, 25 dakikalık bir süre zarfında yaklaşık 500 cüzdandan çekildiğini belirtti. Galaxy Research tarafından yapılan sonraki analiz, kapsamı yaklaşık 41 dakika içinde 1.196 adresten çekilen yaklaşık 70 milyon dolar değerinde 1.082,65 bitcoin olarak genişletti. Etkilenen birçok cüzdan yıllardır pasif durumdaydı.
Coldcard üreticisi Coinkite, hatayı kabul etti, özür diledi ve acil durum firmware güncellemeleri yayınladı. Şirket, etkilenmiş sürümlerde tohum (seed) oluşturan kullanıcıların, yamalı cihazlarda tamamen yeni tohumlar oluşturup fonları dikkatlice taşımalarını tavsiye etti; sadece firmware güncellemesinin, zaten oluşturulmuş savunmasız bir tohumu güvence altına almadığını belirtti.
Bölüm, kendinden saklama sınırları üzerine tartışmaları yeniden alevlendirdi. Donanım cüzdanları, bitcoini çevrimdışı güvence altına almak için en güçlü seçeneklerden biri olarak geniş çapta görülmekle birlikte, Coldcard vakası, uzun süredir kullanılan cihazların bile yıllarca fark edilmeyen kritik kusurlar barındırabileceğini göstermektedir.
CZnin çeşitlendirme önerisi, riskin yayılmasının daha karmaşık anahtar yönetimi gibi kendi pratik zorlukları olduğunu kabul etmektedir.
Popüler Coldcard donanım cihazlarındaki büyük bir güvenlik açığının ardından Binance kurucusu Changpeng Zhao, bilinen adıyla CZ, kripto sahiplerini fonlarını birden fazla cüzdana dağıtmaya çağırdı.
Cumartesi günü X'te hırsızlık iddialarına yanıt olarak CZ şunları yazdı: “Donanım cüzdanlarının bile hataları olabilir. Uzun geçmişe sahip eski cüzdanların bile hataları olabilir. Nasıl önlem alınır？ Fonlarınızı birkaç cüzdana bölmek belki？ Bu farklı bir risk seti oluşturur. Hiçbir şey %100 güvenli değildir. Bilgili kalın. Güvende kalın!”
Olay, Mart 2021 tarihine dayanan ve belirli Coldcard modellerinde kurtarma tohumlarını oluşturmak için kullanılan rastgeleliği zayıflatan bir yazılım hatasını içeriyordu. Bir saldırgan, cihazlara fiziksel olarak erişmeden özel anahtarları çevrimdışı olarak yeniden oluşturabildi ve fonları boşalttı.
İlk zincir üstü raporlar, 30 Temmuzda yaklaşık 25 dakikalık bir zaman diliminde yaklaşık 500 cüzdandan 594 bitcoinin (o zamanki değeriyle yaklaşık 38 milyon dolar) süpürüldüğünü bildirdi. Galaxy Research tarafından yapılan sonraki analiz, kapsamı genişleterek yaklaşık 41 dakikada 1.196 adresten 1.082,65 bitcoinin—yaklaşık 70 milyon dolar değerinde—çekildiğini ortaya koydu. Etkilenen birçok cüzdan yıllardır kullanılmamıştı.