نقص عمده در کیف پول بیت‌کوین منجر به خالی شدن 594 بیت‌کوین در 25 دقیقه شد

حدود 594 بیت‌کوین به ارزش تقریبی 38 میلیون دلار از حدود 500 کیف پول جداگانه بین ساعت 01:31 تا 01:56 به وقت UTC در روز جمعه در حمله‌ای که به نقصی در نحوه تولید کلیدهای کیف پول سخت‌افزاری Coldcard نسبت داده شد، خارج شد. این سرقت 1324 قطعه بیت‌کوین را در 500 تراکنش در یک بازه سه بلوکی جابجا کرد و سپس 562 بیت‌کوین در یک آدرس واحد تجمیع شد که جابجا نشده است. هر کیف پول تخلیه شده تک‌امضایی بود و بیش از 0.15 بیت‌کوین داشت. بسیاری از آن‌ها سال‌ها غیرفعال بودند و سکه‌ها مربوط به سال‌های 2021 تا 2026 بودند که تقریباً با سن نقص مطابقت دارد. Coldcard یک کیف پول سخت‌افزاری ساخته شرکت کانادایی Coinkite است. مدل‌های Mk2، Mk3، Mk4، Q و Mk5 نسل‌های متوالی این محصول هستند. قرار گرفتن در معرض نقص به فریمور دستگاه در زمان ایجاد کیف پول بستگی دارد، نه زمان خرید سخت‌افزار. دانه (seed) کیف پول، عبارت مخفی کنترل‌کننده وجوه، قرار بود به صورت تصادفی از مجموعه‌ای عظیم انتخاب شود. فریمور Coldcard این کار را انجام نمی‌داد. بر اساس گزارشی از تیم‌های مهندسی و امنیت بیت‌کوین Block، یک تنظیم ساخت به دستگاه می‌گفت که از مولد تصادفی سخت‌افزاری خود صرف‌نظر کند و یک بررسی در کتابخانه پشتیبانی فقط وجود آن تنظیم را آزمایش می‌کرد، نه روشن بودن آن را. تولید کلید بی‌صدا به یک جایگزین نرم‌افزاری پایه‌ای که از شماره سریال تراشه و ثبات‌های ساعت تغذیه می‌شد، تنزل یافت. هیچ‌کدام از این‌ها محرمانه نیستند. Block این تغییر را به یک commit مورخ 1 مارس 2021 ردیابی کرد که در فریمور 4.0.0 همان ماه منتشر شد. در نتیجه، Coinkite به کاربرانی که دانه را در Mk3 با نسخه 4.0.1 یا بالاتر ایجاد کرده بودند هشدار داد و گفت Mk4، Q و Mk5 تحت تأثیر قرار نگرفته‌اند. Block گفت یافته‌های خود را به Coinkite افشا کرده است. قرار گرفتن در معرض نقص فراتر از دانه‌های کیف پول است. همین مولد کلیدهای خصوصی کیف پول کاغذی Coldcard را تولید کرد. بیت‌کوین در ساعات اولیه آسیا بالای 64000 دلار معامله شد و به نظر می‌رسد تخلیه گسترده تأثیر کمی بر بازار داشته است.