Firmware-sårbarheden: En brudt entropikæde

En integrationsfejl i firmwaren fra marts 2021 fik Coldcard-enhederne til at omgå deres dedikerede hardware-entropichip under genereringen af seed-fraser og i stedet falde tilbage på en softwarebaseret pseudo-tilfældighedsgenerator (PRNG) . Fejlen påvirkede firmwareversion 4.0.1 til 4.1.9, og senere analyser udvidede omfanget til versioner op til 5.0.3 på Mk3-enheder .

På berørte Mk3-enheder kollapsede den effektive entropi fra de forventede 128 bit til så lavt som ~40 bit, hvilket gjorde seed-fraserne brute-forcebare offline uden nogen form for fysisk adgang, phishing eller malware . Coinkites egen analyse bekræftede senere, at nogle Mk3-seeds kun havde omkring 40 bit entropi . En firmwarekontrol, der skulle verificere, at hardware-RNG'en var aktiv, var selv blevet brudt af samme opdatering, hvilket gjorde, at fejlen forblev uopdaget i over fem år .

Tekniske detaljer

Block (Square)-forskere offentliggjorde den 31. juli en detaljeret teknisk analyse, der sporede roden til en integrationsfejl i Coldcards kode til generering af tilfældige tal. "COLDCARD firmware indeholder en RNG-integrationsfejl, der får ngu.random til at bruge MicroPythons deterministiske Yasmarang-fallback i stedet for STM32-hardware-RNG'en," forklarede Blocks rapport . Det betød, at seed-fraser blev genereret ved hjælp af forudsigelige værdier – herunder mikrocontrollerens serienummer og systemtæller – i stedet for ægte hardware-tilfældighed .

Hvor meget blev stjålet, og hvorfor varierer estimaterne?

Tabestimatet spænder fra 38 millioner til 130 millioner dollars, og den store spredning er ikke modsigende – den afspejler forskellige øjebliksbilleder, efterhånden som angrebet udfoldede sig, og forskerne udvidede deres kædeanalyse.

Hvorfor tallene er forskellige

• Bølger over tid: Angriberen/angriberne udførte mindst fire adskilte tømninger mellem 30. juli og begyndelsen af august, og hver ny bølge udvidede det kendte samlede antal .
• BTC-prisvolatilitet: Rapporter opgør tabene til den Bitcoin-pris, der gjaldt på rapporteringstidspunktet, og som svingede i løbet af hændelsesperioden.
• Gradvis opdagelse af adresser: Forskerne identificerede sårbare adresser gradvist. Tidlige optællinger omfattede kun åbenlyst tømte punge, mens senere kædeanalyse af Galaxy Research og TRM Labs afslørede yderligere berørte seeds, der ikke umiddelbart blev udnyttet .
• Coinkites datamangel: Coinkite oplyste, at de mangler de kundedata, der kræves for uafhængigt at verificere de samlede tab på grund af deres privatlivs-first design, og derfor har de afvist at bekræfte nogen specifikke tal .

Sådan reagerede Coinkite

Coinkites reaktion var hurtig, men virksomheden stod over for en fundamental begrænsning: Da sårbarheden lå i selve seed-genereringen, kunne en firmwareopdatering ikke reparere allerede oprettede seeds .

• 30. juli 2026: Coinkite udsendte en akut sikkerhedsadvisering til Coldcard Mk3-ejere, der advarede om, at midler knyttet til berørte firmwareversioner var i fare .
• 31. juli 2026: Coinkite udgav opdateret firmware til alle berørte modeller (4.2.0+ til Mk3; 5.6.0+ til Mk4 og Mk5; 1.5.0Q+ til Q) og offentliggjorde en teknisk baggrundsartikel, der detaljerede rodårsagen . Virksomheden offentliggjorde også et åbent brev, hvor de kaldte de foregående dage for "nogle af de sværeste i dette firmas historie" og opfordrede alle brugere, der havde genereret seeds på Coldcard-enheder, til straks at flytte midler til nyligt genererede seeds .
• Begyndelsen af august: Coinkite omstødte sin mangeårige politik om sletning af data og meddelte, at de nu ville gemme brugerdata for at imødekomme potentielle juridiske forpligtelser som følge af bruddet .
• Fortsat: Coinkite forpligtede sig til at offentliggøre en fuld teknisk post-mortem, når det er sikkert at gøre det, men havde ikke udgivet den medio august 2026 .

Sådan reagerede forskerne

Det bredere sikkerhedsforskningssamfund mobiliserede hurtigt for at kortlægge omfanget af udnyttelsen og spore dens rodårsag.

• Galaxy Research stod i spidsen for kædeefterforskningen, kortlagde den indledende 41-minutters dræning af 1.082,65 BTC og udvidede gradvist det kendte omfang på tværs af fire angrebsbølger .
• Block (Square)-forskere offentliggjorde den 31. juli en detaljeret teknisk analyse, der sporede roden til RNG-integrationsfejlen .
• TRM Labs offentliggjorde en omfattende hændelsesanalyse, der estimerede ~1.816 BTC stjålet fra over 5.200 adresser og kaldte det det største hardware-pung-udnyttelse nogensinde .
• En community-drevet hændelsesjournal blev oprettet for at spore det udviklende omfang og de tekniske detaljer .

Bredere industrielle konsekvenser

• Bitcoin.org fjernede Coldcard og Coldcard Q fra deres officielle punglister efter hændelsen med henvisning til deres offentliggjorte kriterier for pungnotering .
• Hacket genstartede debatten om selvforvaring, hvor nogle analytikere argumenterede for, at det kan skubbe investorer mod institutionelle depotløsninger eller Bitcoin-ETF'er . Ikke desto mindre steg oprettelsen af nye Bitcoin-punge til et 2026-højdepunkt i kølvandet, delvist drevet af ofre, der migrerede til nye seed-fraser .
• Cybersikkerhedsaktier steg som følge af forventninger om øget granskning af hardwaresikkerhed, mens BTC- og ETH-priserne forblev stort set stabile .
• Brancheeksperter og nogle medier spekulerede i, at AI-assisteret brute-forcing kan være blevet brugt til at accelerere seed-knækningen, selvom der ikke er offentliggjort noget endegyldigt bevis . Coinkite selv indrømmede, at selv en intern gennemgang ved hjælp af "en af de bedste tilgængelige AI-modeller" til at scanne firmwarekode ikke havde formået at opdage fejlen eller nogen anden alvorlig sårbarhed .

Vigtige lektioner for hardware-pung-brugere

• En firmwareopdatering reparerer ikke et allerede kompromitteret seed. Coinkite var utvetydig: "Opdatering af firmwaren reparerer ikke et seed, der blev genereret af berørt firmware. Et nyt seed skal genereres på den nyeste firmware, og midler skal flyttes til den nye pung" .
• Manuelle entropikilder (terningekast, BIP 39-adgangssætninger) begrænsede sandsynligvis sårbarheden. Brugere, der selv genererede deres entropi via Coldcards terningekast-funktion eller brugte en BIP 39-ekstra-adgangssætning, var betydeligt mindre udsat .
• Privatlivs-first design har omkostninger. Coinkites manglende evne til at verificere tabstal eller kontakte berørte kunder stammede fra deres designprincip om ikke at gemme brugerdata – en afvejning, der blev en hæmsko i en krise .

Firmware-sårbarheden: En brudt entropikæde

En integrationsfejl i firmwaren fra marts 2021 fik Coldcard-enhederne til at omgå deres dedikerede hardware-entropichip under genereringen af seed-fraser og i stedet falde tilbage på en softwarebaseret pseudo-tilfældighedsgenerator (PRNG) . Fejlen påvirkede firmwareversion 4.0.1 til 4.1.9, og senere analyser udvidede omfanget til versioner op til 5.0.3 på Mk3-enheder .

På berørte Mk3-enheder kollapsede den effektive entropi fra de forventede 128 bit til så lavt som ~40 bit, hvilket gjorde seed-fraserne brute-forcebare offline uden nogen form for fysisk adgang, phishing eller malware . Coinkites egen analyse bekræftede senere, at nogle Mk3-seeds kun havde omkring 40 bit entropi . En firmwarekontrol, der skulle verificere, at hardware-RNG'en var aktiv, var selv blevet brudt af samme opdatering, hvilket gjorde, at fejlen forblev uopdaget i over fem år .

Tekniske detaljer

Block (Square)-forskere offentliggjorde den 31. juli en detaljeret teknisk analyse, der sporede roden til en integrationsfejl i Coldcards kode til generering af tilfældige tal. "COLDCARD firmware indeholder en RNG-integrationsfejl, der får ngu.random til at bruge MicroPythons deterministiske Yasmarang-fallback i stedet for STM32-hardware-RNG'en," forklarede Blocks rapport . Det betød, at seed-fraser blev genereret ved hjælp af forudsigelige værdier – herunder mikrocontrollerens serienummer og systemtæller – i stedet for ægte hardware-tilfældighed .

Hvor meget blev stjålet, og hvorfor varierer estimaterne?

Tabestimatet spænder fra 38 millioner til 130 millioner dollars, og den store spredning er ikke modsigende – den afspejler forskellige øjebliksbilleder, efterhånden som angrebet udfoldede sig, og forskerne udvidede deres kædeanalyse.

Hvorfor tallene er forskellige

• Bølger over tid: Angriberen/angriberne udførte mindst fire adskilte tømninger mellem 30. juli og begyndelsen af august, og hver ny bølge udvidede det kendte samlede antal .
• BTC-prisvolatilitet: Rapporter opgør tabene til den Bitcoin-pris, der gjaldt på rapporteringstidspunktet, og som svingede i løbet af hændelsesperioden.
• Gradvis opdagelse af adresser: Forskerne identificerede sårbare adresser gradvist. Tidlige optællinger omfattede kun åbenlyst tømte punge, mens senere kædeanalyse af Galaxy Research og TRM Labs afslørede yderligere berørte seeds, der ikke umiddelbart blev udnyttet .
• Coinkites datamangel: Coinkite oplyste, at de mangler de kundedata, der kræves for uafhængigt at verificere de samlede tab på grund af deres privatlivs-first design, og derfor har de afvist at bekræfte nogen specifikke tal .

Sådan reagerede Coinkite

Coinkites reaktion var hurtig, men virksomheden stod over for en fundamental begrænsning: Da sårbarheden lå i selve seed-genereringen, kunne en firmwareopdatering ikke reparere allerede oprettede seeds .

• 30. juli 2026: Coinkite udsendte en akut sikkerhedsadvisering til Coldcard Mk3-ejere, der advarede om, at midler knyttet til berørte firmwareversioner var i fare .
• 31. juli 2026: Coinkite udgav opdateret firmware til alle berørte modeller (4.2.0+ til Mk3; 5.6.0+ til Mk4 og Mk5; 1.5.0Q+ til Q) og offentliggjorde en teknisk baggrundsartikel, der detaljerede rodårsagen . Virksomheden offentliggjorde også et åbent brev, hvor de kaldte de foregående dage for "nogle af de sværeste i dette firmas historie" og opfordrede alle brugere, der havde genereret seeds på Coldcard-enheder, til straks at flytte midler til nyligt genererede seeds .
• Begyndelsen af august: Coinkite omstødte sin mangeårige politik om sletning af data og meddelte, at de nu ville gemme brugerdata for at imødekomme potentielle juridiske forpligtelser som følge af bruddet .
• Fortsat: Coinkite forpligtede sig til at offentliggøre en fuld teknisk post-mortem, når det er sikkert at gøre det, men havde ikke udgivet den medio august 2026 .

Sådan reagerede forskerne

Det bredere sikkerhedsforskningssamfund mobiliserede hurtigt for at kortlægge omfanget af udnyttelsen og spore dens rodårsag.

• Galaxy Research stod i spidsen for kædeefterforskningen, kortlagde den indledende 41-minutters dræning af 1.082,65 BTC og udvidede gradvist det kendte omfang på tværs af fire angrebsbølger .
• Block (Square)-forskere offentliggjorde den 31. juli en detaljeret teknisk analyse, der sporede roden til RNG-integrationsfejlen .
• TRM Labs offentliggjorde en omfattende hændelsesanalyse, der estimerede ~1.816 BTC stjålet fra over 5.200 adresser og kaldte det det største hardware-pung-udnyttelse nogensinde .
• En community-drevet hændelsesjournal blev oprettet for at spore det udviklende omfang og de tekniske detaljer .

Bredere industrielle konsekvenser

• Bitcoin.org fjernede Coldcard og Coldcard Q fra deres officielle punglister efter hændelsen med henvisning til deres offentliggjorte kriterier for pungnotering .
• Hacket genstartede debatten om selvforvaring, hvor nogle analytikere argumenterede for, at det kan skubbe investorer mod institutionelle depotløsninger eller Bitcoin-ETF'er . Ikke desto mindre steg oprettelsen af nye Bitcoin-punge til et 2026-højdepunkt i kølvandet, delvist drevet af ofre, der migrerede til nye seed-fraser .
• Cybersikkerhedsaktier steg som følge af forventninger om øget granskning af hardwaresikkerhed, mens BTC- og ETH-priserne forblev stort set stabile .
• Brancheeksperter og nogle medier spekulerede i, at AI-assisteret brute-forcing kan være blevet brugt til at accelerere seed-knækningen, selvom der ikke er offentliggjort noget endegyldigt bevis . Coinkite selv indrømmede, at selv en intern gennemgang ved hjælp af "en af de bedste tilgængelige AI-modeller" til at scanne firmwarekode ikke havde formået at opdage fejlen eller nogen anden alvorlig sårbarhed .

Vigtige lektioner for hardware-pung-brugere

• En firmwareopdatering reparerer ikke et allerede kompromitteret seed. Coinkite var utvetydig: "Opdatering af firmwaren reparerer ikke et seed, der blev genereret af berørt firmware. Et nyt seed skal genereres på den nyeste firmware, og midler skal flyttes til den nye pung" .
• Manuelle entropikilder (terningekast, BIP 39-adgangssætninger) begrænsede sandsynligvis sårbarheden. Brugere, der selv genererede deres entropi via Coldcards terningekast-funktion eller brugte en BIP 39-ekstra-adgangssætning, var betydeligt mindre udsat .
• Privatlivs-first design har omkostninger. Coinkites manglende evne til at verificere tabstal eller kontakte berørte kunder stammede fra deres designprincip om ikke at gemme brugerdata – en afvejning, der blev en hæmsko i en krise .