web3: Coldcard toxum zəifliyi aşkarlandı, 100 milyon dollardan çox Bitcoin oğurlanıb

Kripto dünyası xəbər verir:

Coldcard hardware cüzdanının bir kod defisiti son günlər geniş miqyasda Bitcoin oğurluğu ilə əlaqələndirilir. CoinDesk-in məlumatına görə, Galaxy Research, hücumçuların təxminən 7,300 ünvanından 1,596 Bitcoin oğurladığını, hadisə zamanı qiymətə görə bunun 100 milyon dollardan çox olduğunu hesablayıb.

Bu hadisənin diqqət çəkməsinin səbəbi, Coldcard-ın offline imza və açıq mənbə kodunu satış nöqtəsi kimi təqdim etməsidir. Bir neçə istifadəçi hesab edir ki, cihaz heç vaxt internetə qoşulmasa və xatırlatma sözləri ayrı saxlanılsa da, fondlar hələ də toxum yaradılması mərhələsindəki defisit səbəbindən riskə məruz qala bilər.

Təsir olunan miqyas minlərlə Bitcoin-i aşır

Məlumatlara görə, zərərçəkənlərdən biri Jonathan Goodman, 29 iyulda bütün cüzdan aktivlərini itirdiyini, bunun 18.25 Bitcoin olduğunu və dəyərinin təxminən 1.17 milyon dollar olduğunu bildirib. Galaxy Research-in tədqiqat rəhbəri Alex Thorn, 4 avqustda, bu defisiti istifadə edən ən azı 15 hücumçunun olduğunu və istifadəçi cihazına toxunmadan bunu edə biləcəyini söyləyib.

Hardware cüzdanlarının təhlükəsizliyi, özəl açarların və ya xatırlatma sözlərinin yaradılması prosesinin kifayət qədər təsadüfi olmasına və gizli məlumatların çipdən kənara çıxmamasına bağlıdır. Əgər təsadüfilik kifayət qədər deyilsə, hücumçular ehtimalı daraldaraq cüzdan toxumunu kütləvi şəkildə çıxara bilərlər.

Problemin mənbəyi toxum təsadüfi ədədləridir

Məlumatda qeyd olunur ki, zəiflik Coldcard-ın offline imza prosesində deyil, cüzdan yaradılarkən təsadüfi ədədlərin yaradılmasındadır. Coldcard, cihazın daxili hardware təsadüfi ədəd generatorunu çağırmalı idi, lakin bir konfiqurasiya səhvi sistemin daha zəif software təsadüfi ədəd mənbəyini istifadə etməsinə səbəb olub.

Bu software mənbəyi cihaz məlumatları və zaman məlumatları kimi girişlərə əsaslanır və təsadüfilik açıq-aşkar xüsusi hardware həllərindən zəifdir. Nəticədə, demək olar ki, tamamilə tükənməz olan toxum sahəsi əhəmiyyətli dərəcədə sıxışdırılıb, hücumçular daha kiçik bir sahədə cüzdan toxumunu sınayıb bərpa edə bilərlər.

Zəiflik 2021-ci il kod dəyişikliklərindən sonra sistemə daxil olub

CoinDesk, Bitcoin inkişafçısı James O'Beirne-in sözlərinə istinad edərək, bu problemin Coldcard-ın 2021-ci ildə baş verən geniş miqyaslı firmware yeniləməsindən sonra meydana çıxa biləcəyini bildirib. O zaman Coinkite 4.0.0 versiyasını təqdim etdi, bunu "tamamilə yeni kod" adlandırdı və yeni mənbə kitabxanası libngu-nu təqdim etdi.

O'Beirne, 2025-ci ilin mayında kodu audit edərkən təsadüfi ədəd yaradılması prosesi ilə bağlı suallar irəli sürdüyünü və Coinkite-ə potensial defisit barədə məlumat verdiyini bildirib. Məlumatda qeyd olunur ki, şirkət o zaman problemi həqiqətən varsa, nəzəri cəhətdən artıq aşkar ediləcəyini düşünürdü.

Sonra, tədqiqatçılar kod yolunu izləməyə davam etdilər və Coldcard-ın müvafiq parametrləri oxuyarkən software kommunikasiya səhvi baş verdiyini, nəticədə bağlanmalı olan zəif təsadüfi mənbənin hələ də çağırıldığını düşündülər. Coldcard kodunun açıq olması səbəbindən, bu hadisə "açıq mənbə, yoxlama olunmuş deyil" müzakirəsini yenidən gündəmə gətirdi.

Sənaye təsiri baxımından, bu hadisə istifadəçilərin hardware cüzdanlarının "təbiətcə şəbəkə riskindən izolyasiya olunması" anlayışını zəiflətdi. Cihaz offline qalsa belə, əgər açar yaradılması mərhələsində defisit varsa, hücumçular hələ də cihazla təmas olmadan hücum edə bilərlər.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.