Jak jediná chyba firmwaru zpřístupnila bitcoiny z tisíců Coldcard peněženek

Útočníci přitom nemuseli zařízení Coldcard fyzicky ukrást ani se dostat k obnovovacím frázím uloženým uživateli. Využili několik let starou chybu ve firmwaru, která oslabila samotný základ bezpečnosti peněženek: náhodnost při generování seedu.

Problém začal nenápadnou změnou ve firmwaru

Kořeny zranitelnosti sahají ke commitu z 1. března 2021, který se dostal do firmwaru Coldcard Mk3 . Zařízení Coldcard mají vlastní hardwarový generátor skutečně náhodných čísel, označovaný jako TRNG. Právě ten má dodat nepředvídatelný základ pro vytvoření obnovovací fráze.

Chybná úprava však způsobila, že firmware hardwarový generátor přeskočil a použil softwarovou náhradní metodu . Ta odvozovala seed z údajů, jako je sériové číslo čipu a interní hodiny zařízení . Tyto hodnoty nejsou dostatečně náhodné a lze je odhadovat nebo systematicky prohledávat.

Výsledkem byl dramatický pokles takzvané entropie – tedy prostoru možných náhodných hodnot. Místo zamýšlených 256 bitů bezpečné náhodnosti vznikl mnohem menší, vyčíslitelný prostor . Obnovovací fráze o 12 nebo 24 slovech tak sice mohla na první pohled vypadat správně, ve skutečnosti však nebyla dostatečně náhodná.

Jak útočníci peněženky vyčerpali

Útok mohl probíhat zcela offline. Útočníci pravděpodobně:

1. vygenerovali velké množství možných slabých seedů pro zranitelné verze firmwaru,
2. z těchto seedů odvodili odpovídající privátní klíče a bitcoinové adresy,
3. zkontrolovali, na kterých adresách jsou prostředky,
4. bitcoiny okamžitě převedli do vlastních peněženek.

Stačilo tedy předem vypočítat možné kombinace a následně sledovat blockchain. Fyzický přístup k Coldcard ani znalost uživatelovy obnovovací fráze nebyly nutné . Analytická společnost Galaxy Research při mapování přesunů identifikovala nejméně tři odlišné skupiny útočníků .

Některé zprávy uvádějí, že k odhalení chyby mohl přispět audit kódu s pomocí umělé inteligence. AI nástroje zároveň mohly výrazně usnadnit masové prohledávání možných seedů a kontrolu zůstatků. Přímé zapojení AI do objevení zranitelnosti však zůstává uváděno jako možnost, nikoli jako definitivně potvrzený fakt .

Kdo byl ohrožen

Podle dostupných upozornění se problém týkal především zařízení Coldcard Mk2 a Mk3 se zranitelnými verzemi firmwaru. U Mk3 šlo zejména o firmware od verze 4.0.1 z března 2021 do verze 4.1.9; širší bezpečnostní upozornění zahrnovala také některé verze až do 5.0.3 . Ve veřejných analýzách se rozsah pro jednotlivé modely a verze v některých detailech liší.

Za bezpečné byly považovány případy, kdy uživatel:

• vytvořil seed pomocí vlastních hodů kostkou, tedy s dodatečnou entropií,
• použil dodatečné heslo BIP39 passphrase,
• generoval seed na opraveném firmwaru, například ve verzi 4.2.0 nebo novější podle příslušného modelu,
• používal zařízení Mk4, které podle uvedených zdrojů nebylo touto konkrétní zranitelností zasaženo .

Celkem bylo vyčerpáno více než 5 200 bitcoinových adres z více než 4 500 peněženek . Největší jednotlivý převod proběhl 30. července: během pouhých 41 minut zmizelo z 1 196 adres celkem 1 082,65 BTC, tehdy v hodnotě přibližně 70,2 milionu dolarů .

Coinkite vydal opravu, ale aktualizace sama nestačí

Výrobce Coldcard, kanadská společnost Coinkite, zveřejnil bezpečnostní upozornění 30. července 2026 . Uživatelům doporučil, aby prostředky z potenciálně ohrožených peněženek okamžitě převedli do nových peněženek vytvořených na opraveném firmwaru nebo s využitím entropie z hodů kostkou .

Coinkite zároveň vydal opravený firmware od verze 5.0.4, který měl obnovit správné používání hardwarového generátoru náhodných čísel . Firma také zveřejnila časovou osu vedoucí zpět k problematickému commitu z března 2021 a spolupracovala s analytickými společnostmi Galaxy Research a Block při sledování ukradených prostředků .

Důležité je, že samotná aktualizace firmwaru neopraví již dříve vytvořený seed. Pokud byla obnovovací fráze vygenerována zranitelnou verzí, musí uživatel vytvořit zcela novou peněženku a prostředky do ní převést .

Oběti čelily zmatku i phishingu

Mnoho uživatelů se o problému dozvědělo až poté, co jejich zůstatky zmizely. Na sociálních sítích se 30. července objevily četné zprávy o vyprázdněných peněženkách .

Situaci zkomplikovaly také weby nabízející kontrolu ohrožených adres. Některé z nich mohly být phishingové stránky, které se snažily z uživatelů vylákat obnovovací fráze. Uživatelé proto neměli zadávat seed do žádného webového formuláře ani jej sdílet s podporou či „bezpečnostním nástrojem“.

U tohoto typu útoku je náprava složitá. Bitcoin nemá centrálního správce, který by transakci stornoval, a blockchainové převody jsou nevratné. Veřejná účetní kniha sice umožňuje sledovat pohyb mincí, sama o sobě však neznamená, že se prostředky automaticky vrátí původním majitelům.

Ledger: naše zařízení zasažena nebyla

Konkurenční výrobce Ledger uvedl, že jeho zařízení touto konkrétní zranitelností zasažena nebyla. Firma poukázala na certifikovaný hardwarový generátor skutečně náhodných čísel integrovaný v bezpečnostním čipu, který podle jejího vyjádření vytváří pro každou obnovovací frázi plných 256 bitů entropie .

Toto vyjádření se týká konkrétně chyby Coldcard a neznamená obecnou záruku, že žádná hardwarová peněženka nemůže mít v budoucnu jiný bezpečnostní problém.

Dopad na důvěru v hardwarové peněženky

Incident zasáhl reputaci Coldcard, která byla často vnímána jako zařízení pro mimořádně opatrnou bitcoinovou samosprávu. Zároveň otevřel nepříjemnou otázku: jak bezpečné je zařízení „odpojené od internetu“, pokud chyba ve firmwaru dokáže potají oslabit náhodnost při tvorbě klíčů?

Útok také posílil debatu o bezpečnosti open-source firmwaru a o tom, zda může umělá inteligence urychlit hledání zranitelností stejně jako jejich zneužívání. Vývojáři a bezpečnostní experti znovu zdůrazňují zejména:

• více podpisů, tedy multisig, pro významnější prostředky,
• obnovovací fráze chráněné dodatečným heslem,
• ověřené zdroje hardwarové náhodnosti,
• vlastní dodatečnou entropii, například pomocí hodů kostkou,
• pravidelné ověřování bezpečnostních upozornění výrobce .

Samotný bitcoin podle dostupných zpráv kvůli útoku nezažil výrazný cenový propad. Incident však přispěl k opatrnější náladě na již tak volatilním trhu .

Kam se ukradené bitcoiny poděly

K 7. srpnu 2026 zůstávala naprostá většina ukradených prostředků nevyužita a veřejně sledovatelná. To ale neznamená, že byly zmrazeny úředním zásahem nebo vráceny obětem.

• Největší skupina: Útočník ovládal přibližně 1 159 BTC v hodnotě asi 72,7 milionu dolarů na sedmi adresách. K 5. srpnu nebyly tyto prostředky podle dostupných analýz odeslány do mixéru ani směněny přes identifikovanou burzu .
• Druhá skupina: Jiný aktér mezi 4. a 6. srpnem přesunul přibližně 64 BTC přes Wasabi a 200 ETH přes Tornado Cash, což odpovídá pokusu zkomplikovat sledování části prostředků . Analytici se domnívají, že může jít o menšího útočníka s dílčí databází slabých seedů.
• Třetí skupina: 7. srpna se aktér, kterému bylo připisováno přibližně 2 055 BTC, po delší pauze přesunul 30,185 BTC v hodnotě asi 1,94 milionu dolarů do nové peněženky .
• Celkový obraz: K 4. srpnu se nepohnulo přibližně 90 % z odhadovaných 1 600 ukradených BTC. Z největší skupiny nebyly podle dostupných zpráv bitcoiny odeslány do mixéru ani vyplaceny přes známou burzu .

Blockchainové společnosti Galaxy Research a Block, stejně jako další vyšetřovatelé a orgány činné v trestním řízení, mohou pohyby sledovat v reálném čase . Veřejnost tak vidí, kde se velká část prostředků nachází, a burzy mohou při pokusu o jejich směnu reagovat podle svých kontrol AML/KYC.

Pro oběti ale zůstává výsledek nejistý. Ukradené bitcoiny jsou sice do značné míry „zmrazené na očích“, k 7. srpnu 2026 však nebylo veřejně potvrzeno jejich zabavení ani vrácení poškozeným.