آسیب‌پذیری 38 میلیون دلاری کلدکارد اعتماد به خودنگهداری بیت‌کوین را متزلزل کرد

یکی از بزرگ‌ترین مزیت‌های بیت‌کوین همواره این بوده که سرمایه‌گذاران برای حفاظت از دارایی‌هایشان نیازی به اعتماد به بانک‌ها و صرافی‌ها ندارند. اما این وعده با کشف یک نقص امنیتی جدی در کیف پول سخت‌افزاری کلدکارد ساخت شرکت Coinkite با یکی از بزرگ‌ترین ضربه‌های خود مواجه شد. این نقص به مهاجمان اجازه داده تا عبارات بازیابی کیف پول را بازسازی کرده و بیت‌کوین‌هایی را که کاربران تصور می‌کردند به‌صورت امن نگهداری می‌شوند، به سرقت ببرند. این آسیب‌پذیری اکنون برطرف شده، اما پیامدهای آن ادامه دارد. کاربران آسیب‌دیده باید کیف پول‌های کاملاً جدیدی بسازند و دارایی‌هایشان را منتقل کنند، زیرا صرف به‌روزرسانی فریمور خطر را از بین نمی‌برد. مدیرعامل Coinkite با نام مستعار NVK در یک نامه سرگشاده نوشت: «اگر با کیف پول کلدکارد یک seed تولید کرده‌اید، همین الان و پیش از هر اقدامی، دارایی‌هایتان را منتقل کنید.» او تأکید کرد که اصلاحیه جدید فقط seed‌های آینده را محافظت می‌کند و seed‌های قبلی همچنان در معرض خطر هستند. گای سوان، تحلیلگر بیت‌کوین، این رویداد را بدترین ضربه در تاریخ بیت‌کوین به آگاه‌ترین و محتاط‌ترین کاربران توصیف کرد و گفت: «این یک صرافی نیست که به خاطر کلیدهای آنلاین هک شده باشد؛ این هزاران نفر هستند که کلیدهای خصوصی شخصی‌شان از زیر پایشان بازسازی شده است." لورنزو والنته، مدیر تحقیقات دارایی‌های دیجیتال در ARK Invest، گفت: «فضای سخت‌افزارهای خودنگهداری در این مرحله فاجعه‌بار است و بیشتر از هر چیز دیگری به اعتبار صنعت آسیب می‌زند. در عمل، کاربران ریسک طرف مقابل را با ریسک نرم‌افزار، سخت‌افزار، زنجیره تأمین، فیشینگ و احتمال از دست دادن همه چیز با یک اشتباه معاوضه کرده‌اند.» او افزود که نگهداری دارایی در چند صرافی معتبر یا ETF‌های بورسی در حال حاضر گزینه بهتری است. محققان دریافتند که برخی نسخه‌های فریمور کلدکارد، seed کیف پول را با تصادفی‌بودن بسیار کمتری از حد مورد نیاز تولید می‌کردند و این موضوع آن‌ها را در برابر حملات brute-force آسیب‌پذیر می‌ساخت. نیک نیومن، مدیرعامل Casa، راه‌حل پیشنهادی مبنی بر استفاده از تاس فیزیکی برای افزایش تصادفی‌بودن را نیز به باد انتقاد گرفت و گفت: «نمی‌توان از مردم خواست برای امنیت خودنگهداری تاس بیندازند؛ این برای 99 درصد مردم قابل اجرا نیست." اودی ورتهایمر، توسعه‌دهنده Taproot، نیز هشدار داد که با پیشرفت هوش مصنوعی و کاهش هزینه کشف آسیب‌پذیری‌های نرم‌افزاری، امنیت دیگر یک بار برای همیشه قابل تنظیم نیست و دارندگان بیت‌کوین باید یا مداوم تهدیدات جدید را رصد کنند یا به متخصصان حرفه‌ای اعتماد کنند.