SDE ep. 41: Autokontrola Bitcoina po ColdCard

W 41. odcinku Separando el Dinero y el Estado Matías Mathey powraca do programu w trybie awaryjnym, kilka dni po incydencie z Coldcard, nie jako analityk awarii technicznej, lecz jako osoba, która była na miejscu, pomagając przestraszonym ludziom: telefony, warsztaty, spaces, darmowy samouczek dotyczący konfiguracji passphrase dla osiemnastu portfeli.

Jego ramy dla kryzysu to pilne kontra ważne: pilne jest nieutracenie funduszy — nawet jeśli to oznacza tymczasowe przejście przez giełdę, w przeciwieństwie do purystycznego odruchu nie-KYC — a ważne przychodzi później, gdy jest czas na myślenie o sprzęcie, multifirmie, dziedziczeniu. Na temat dylematu dotyczącego tego, ile złożoności jest zbyt dużo, przynosi najlepszy materiał odcinka: argentyński dziadek, który chował dolary pod mozaiką i zabrał sekret do grobu. Paranoja, która niszczy majątek, nie została wymyślona przez autokontrolę.

Matías proponuje konkretne i trudne rozwiązanie: audyt krzyżowy między konkurentami — Trezor przeglądający Blockstream i odwrotnie — z procesami zatwierdzania w stylu norm ISO, i przyznaje w tym samym zdaniu, dlaczego to się nie dzieje: ego i interesy komercyjne.

Najważniejsze informacje:

• Żaden z jego bliskich klientów nie został dotknięty; wielu miało Coldcard MK4 z passphrase i przeprowadziło migracje lub wzmocnienia swojej konfiguracji.
• Początkowo sądzono, że problem dotyczy tylko urządzeń z oprogramowaniem z 2021 roku, ale również środki zostały skradzione z urządzeń MK4.
• Jameson Lopp zauważył, że większość ludzi nie będzie audytować kodu firm i kończy zaufaniem.
• Zgodnie z oświadczeniem Coldcard, firma przeszła swój kod przez różne usługi sztucznej inteligencji i nie wykryła podatności.
• Napastnik przesuwa środki przez mixer, przypuszczalnie Wasabi.
• Użytkownik zidentyfikowany jako Krwed został wskazany w sieci jako koordynator używanego CoinJoin i opowiada się za antycenzurą i niekonfiskowalnością.
• Według Matíasa, w Coldcard istniała autonomia dla programistów, aby wprowadzać pewne zmiany w kodzie bez przeglądu osób trzecich.
• Około miesiąc temu zhakowano notariusza w Rumunii i usunięto rejestry własności mieszkań; podobne sytuacje miały miejsce w Polsce, Grecji i Chorwacji.
• Po incydencie osiągnięto rekordowe szczyty transakcji on-chain przez użytkowników opuszczających Coldcard lub zmieniających konfiguracje.
• Charles Guillemet z Ledger zauważył, że relacja kosztu i wysiłku przeglądania kodu zmienia się całkowicie, gdy robi to agent zautomatyzowany zamiast człowieka.
• Istnieje Red Team Bitcoina, z udziałem CEO Anchor Watch i Calle z Cashu, który przegląda kod z wykorzystaniem sztucznej inteligencji.
• Według Calle, ta rewizja znalazła około jednej krytycznej podatności na osobę na godzinę w analizowanych projektach.
• Matías testuje konfiguracje multifirmy, w tym schematy cztery z dziesięciu z portfelami sprzętowymi.
• W tym samym tygodniu Boltz doznał długotrwałego ataku przez kilka dni i zawiesił usługi, zanim środki zostałyby zagrożone.
• Upadek Boltz miał reperkusje w innych usługach branży.
• Covenanty pozwoliłyby na ustalenie warunków wydatków, takich jak ograniczenie wysyłania bitcoinów tylko do wcześniej zdefiniowanych adresów, co obecnie nie jest możliwe.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.