Coldcard-hakkerointi selitettynä: kuinka siemenlauseiden ennakoitavuus mahdollisti miljoonavarkaudet

Coldcard-varkaus ei ollut fyysinen murto, eikä se tarkoita, että Bitcoinin kryptografia olisi murrettu. Ongelma oli siinä, miten jotkin Coldcard-laitteet loivat käyttäjien varoja hallitsevat palautussiemenet. Kun hyökkääjät tunnistivat siementen muodostumisessa olleen kaavan, he pystyivät luomaan valtavia määriä ehdokkaita, vertaamaan niitä julkisesti näkyviin Bitcoin-osoitteisiin ja siirtämään varat ilman pääsyä itse laitteeseen tai sen varmuuskopioon.

Lyhyesti: mitä tapahtui?

Coldcard on laitteistolompakko. Sen tarkoitus on pitää Bitcoin-siirtojen hyväksymiseen tarvittavat avaimet erillään internetiin yhteydessä olevista ohjelmista. Tällainen niin sanottu kylmäsäilytys on yleensä huomattavasti vaikeampi kohde etähyökkäyksille kuin puhelimessa, selaimessa tai kryptopörssissä toimiva kuuma lompakko.

Turvallisuus riippuu kuitenkin myös siitä, kuinka satunnaisesti lompakon palautussiemen luodaan. Maaliskuussa 2021 julkaistu laiteohjelmistomuutos sai haavoittuneet Coldcardit käyttämään siemenen luonnissa ennakoitavaa ohjelmallista prosessia laitteen oman laitteistopohjaisen satunnaislukugeneraattorin sijaan. Coinkite on myöhemmin kuvannut syyksi koonti- ja symbolien ratkaisuun liittyneen integraatiovirheen – kyse ei ollut tietoisesta päätöksestä käyttää heikompaa varamenetelmää.

Miten siemenlauseen virhe mahdollisti etävarkauden?

Palautussiemen on käytännössä lompakon pääsalaisuus. Sen avulla voidaan muodostaa uudelleen Bitcoin-osoitteet ja siirtojen allekirjoittamiseen tarvittavat yksityiset avaimet. Siemenen on siksi oltava ennalta arvaamaton. Jos hyökkääjä pystyy rajaamaan mahdollisten siementen määrää, oikea siemen voidaan löytää laskennallisesti ilman alkuperäisen laitteen näkemistä.

Haavoittuneiden Mk3-lompakoiden tehokkaaksi entropiaksi eli satunnaisuuden määräksi arvioitiin Coinkiten tekniseen analyysiin perustuneissa raporteissa noin 40 bittiä, vaikka tavoite oli 128 bittiä. Tämä pienensi mahdollisten vaihtoehtojen määrää niin paljon, että erikoistunut laskenta tuli käytännössä mahdolliseksi.

Raportoitu hyökkäys eteni seuraavasti:

1. Tutkijat ja hyökkääjät tunnistivat ennakoitavan siementen luontitavan.
2. Ohjelmisto tuotti suuren määrän virheellisen prosessin mukaisia siemenehdokkaita.
3. Ehdokkaita verrattiin julkisiin Bitcoin-osoitteisiin.
4. Kun ehdokas vastasi varoja sisältävää lompakkoa, sen perusteella johdetuilla yksityisillä avaimilla voitiin hyväksyä siirto.

Tämä selittää, miksi uhrit saattoivat noudattaa tavanomaisia itsehallinnan turvallisuusohjeita – olla jakamatta siementä, pitää laitteen offline-tilassa ja säilyttää varmuuskopion turvallisesti – ja silti menettää varansa. Heikkous syntyi jo siementä luotaessa, ei siinä, missä siementä myöhemmin säilytettiin.

Kuinka paljon kryptovaluuttaa varastettiin?

Arviot muuttuivat kampanjan edetessä. Varhaisessa laskennassa noin 500 yksiallekirjoitteisesta lompakosta yhdistettiin varkauksiin 594,48 bitcoinia. Myöhemmissä raporteissa kampanjaan liitettiin yli 1 300 bitcoinia ja yli 130 miljoonan dollarin tappiot.

Lukuja ei pidä tulkita yhdeksi lopulliseksi kokonaissummaksi. Eri raportit käsittelivät eri varkausaaltoja, ajanjaksoja, lompakkotyyppejä ja bitcoinin vaihtokurssia. Galaxy Research kuvasi myöhemmässä arviossaan tappioita ilmauksella ”130 miljoonaa dollaria ja lisää”, mikä korosti tutkinnan olleen vielä kesken elokuun puolivälissä.

Kuka Coldcard-varkausten takana on?

Tekijöitä ei ole julkisesti tunnistettu. Saatavilla olevissa raporteissa kuvattiin aktiivista ja opportunistista kampanjaa, johon osallistui vähintään tusina tuntemattomia hakkereita tai ryhmiä. On myös mahdollista, että useat toimijat hyödynsivät samaa haavoittuvuutta sen tultua tietoon.

Teknisen syyn osoittaminen ja tekijöiden tunnistaminen ovat eri asioita. Tekninen syy liittyy Coldcardin siementen luonnin toteutukseen, mutta lompakoita tyhjentäneiden henkilöiden nimet, organisaatio ja sijainti ovat saatavilla olevien tietojen perusteella edelleen selvittämättä. Todisteet eivät osoita Bitcoinin itsensä joutuneen murretuksi eivätkä vahvista yhtä tiettyä rikollisryhmää.

Miten tapaus liittyy vuoden 2026 kryptohakkereihin?

Coldcard-tapaus osui ajanjaksoon, jolloin kryptovaluuttoihin kohdistuneet tietoturvatappiot olivat muutenkin suuria. Elokuun alkuun mennessä raporteissa puhuttiin yli 200 kryptoyhtiöihin kohdistuneesta hakkeroinnista vuonna 2026 ja yli 950 miljoonan dollarin tappioista.

Vertailussa on kuitenkin tärkeää pitää mittakaavat erillään: laajempi summa kattaa hyökkäyksiä kryptoyhtiöihin ja erilaisiin järjestelmiin, kun taas Coldcard-tappiot johtuivat tietystä lompakon siementen luontiin liittyneestä heikkoudesta. Tapaus havainnollistaa silti itsehallintaan liittyvää toistuvaa riskiä: vahva kryptografia ja offline-säilytys eivät pysty paikkaamaan viallista avainten luontia tai ohjelmistototeutusta.

Miksi Coldcardia pidettiin kuumaa lompakkoa turvallisempana?

Laitteistolompakoiden tavoitteena on pitää allekirjoittamiseen tarvittavat arkaluonteiset tiedot erillään internetiin yhteydessä olevista laitteista. Kuuma lompakko puolestaan toimii yleensä ohjelmistona, joka altistuu laajemmalle joukolle verkkouhkia. Kylmäsäilytys pienentää siten haittaohjelmien, etäkaappausten ja siemenen vahingossa tapahtuvan paljastumisen riskiä normaalissa käytössä.

Coldcardin turvallisuusmalli ei pettänyt siksi, että hyökkääjät olisivat kirjautuneet etänä jokaiseen laitteeseen. Ongelma oli, että joidenkin lompakoiden siemenet oli luotu liian heikosti satunnaisella menetelmällä. Kun heikko siemen on kerran olemassa, laitteen säilyttäminen kassakaapissa suojaa laitteistoa – mutta ei välttämättä matemaattista salaisuutta, joka voidaan rekonstruoida julkisen lohkoketjun ja tunnetun luontitavan avulla.

Ero on olennainen: kyse oli tuotteen toteutukseen liittyneestä haavoittuvuudesta, ei todisteesta siitä, että kaikki offline-lompakot olisivat lähtökohtaisesti turvattomia tai että Bitcoinin osoite- ja allekirjoitusjärjestelmä olisi kukistettu.

Mitä uhrit kokivat?

Jonathan Goodman kertoi, että hänen Coldcardin hallinnoimistaan varoista vietiin noin 1,6 miljoonan Kanadan dollarin arvosta kryptovaluuttaa. Hänen mukaansa hän ei ollut koskaan jakanut siemenlausettaan ja oli säilyttänyt laitteensa fyysisesti suojattuna. Varotoimet eivät kuitenkaan estäneet varkautta.

Goodmanin tapaus kiteyttää tapahtuman järkyttävimmän puolen: hyväkin käyttöturvallisuus on riittämätön, jos itse salaisuus on alun perin luotu menetelmällä, joka ei tuottanut tarpeeksi arvaamatonta tietoa. Huolellisesti säilytetty heikko avain on edelleen heikko avain.

Mitä Coinkite neuvoi käyttäjiä tekemään?

Coinkite kertoi ongelmasta 30. heinäkuuta 2026 ja julkaisi korjatun laiteohjelmiston sekä tietoturvatiedotteen. Yhtiön keskeinen ohje oli varojen siirtäminen uuteen lompakkoon – ei pelkkä laitteen päivittäminen:

1. Asenna oikea korjattu laiteohjelmisto Coinkiten virallisesta lähteestä.
2. Luo päivitettyyn laitteeseen kokonaan uusi lompakon siemen.
3. Siirrä varat vanhasta lompakosta uuden siemenen hallitsemiin osoitteisiin.
4. Kohtele vanhaa siementä vaarantuneena, ellei se kuulu Coinkiten ilmoittamiin poikkeuksiin.

Coinkite varoitti nimenomaisesti, ettei laiteohjelmiston päivittäminen tee haavoittuvalla ohjelmistolla aiemmin luodusta siemenestä jälkikäteen turvallista. Olemassa olevat varat on siirrettävä uuden siemenen hallitsemaan lompakkoon.

Yhtiön tiedotteen mukaan varat olivat vaarassa, jos siemen oli luotu ilman vähintään 50:tä toisistaan riippumatonta ja yksityisesti heitettyä nopanheittoa eikä lompakkoa ollut suojattu vahvalla ja yksilöllisellä BIP-39-salalauseella. Käyttäjien tulee tarkistaa mallikohtaiset laiteohjelmistoversiot ja siirto-ohjeet ajantasaisesta virallisesta tiedotteesta. Siemenlauseen sanoja tai salalausetta ei pidä koskaan antaa kenellekään, joka esiintyy tukipalveluna.

Laajempi opetus laitteistolompakoiden käyttäjille

Coldcard-tapaus osoittaa, että laitteistolompakon turvallisuus rakentuu useasta kerroksesta:

• Fyysinen eristys: laite ja varmuuskopio pidetään hyökkääjien ulottumattomissa.
• Satunnaisuus: siemen luodaan riittävän ennakoimattomasta lähteestä.
• Laiteohjelmiston eheys: laitteen koodi käyttää tarkoitettuja turvallisuuskomponentteja.
• Palautuskäytännöt: vaarantunut siemen vaihdetaan sen sijaan, että oletetaan ohjelmistopäivityksen korjaavan sen.
• Siirtoturvallisuus: vastaanottajan tiedot tarkistetaan ennen siirron hyväksymistä.

Tärkein käytännön ohje on yksinkertainen: jos lompakon siemen on mahdollisesti luotu haavoittuvalla menetelmällä, vaihdettava asia ei ole vain laite vaan itse siemen. Tässä tapauksessa hyökkääjien ei väitetysti tarvinnut varastaa Coldcardia. Heidän tarvitsi vain rekonstruoida sen luoma salaisuus.