הפריצה ל־Coldcard: באג בקושחה הפך ארנקי ביטקוין לחיזוי

האירוע לא נבע מגניבה פיזית של מכשירים או מהשתלטות ישירה עליהם. במקום זאת, באג שקט בקושחה הפך את משפטי השחזור — סדרות המילים שמגנות על הארנק — לצפויים מספיק כדי שאפשר יהיה לשחזר אותם מרחוק.

מה השתבש: מחולל האקראיות נעקר מהמשוואה

שורש הבעיה היה בשינוי קוד שבוצע ב־1 במרץ 2021 ונכלל בקושחת Coldcard Mk3 בגרסה 4.0.1 . למכשירי Coldcard יש מחולל מספרים אקראיים אמיתי בחומרה, או TRNG, שאמור לספק את האקראיות הקריפטוגרפית הדרושה ליצירת מפתחות וזרעי ארנק.

הקושחה הפגומה גרמה למכשיר לדלג על ה־TRNG ולעבור למחולל אקראי תוכנתי . במקום להפיק נתונים אקראיים באמת, מנגנון הגיבוי הסתמך על נתונים שניתן לנחש — בהם המספר הסידורי של השבב והשעון הפנימי של המכשיר .

התוצאה הייתה קריסה דרמטית של האנטרופיה: במקום מרחב חיפוש תאורטי של 256 ביטים, נוצר מרחב קטן בהרבה שניתן לסריקה חישובית. לכן משפט שחזור בן 12 או 24 מילים שנוצר במכשיר פגיע כבר לא היה אקראי במידה הנדרשת .

מי שהכיר את טווח המספרים הסידוריים ואת ערכי השעון האפשריים יכול היה להריץ חיפוש לא מקוון, לשחזר את משפט השחזור המלא ולגזור ממנו את המפתחות הפרטיים — בלי גישה פיזית למכשיר .

כך פעלו התוקפים

התקיפה התבססה ככל הנראה על סריקה המונית של זרעים חלשים:

1. חישוב כל הצירופים האפשריים שנוצרו בקושחה הפגומה.
2. גזירת המפתחות הפרטיים והכתובות המתאימות מכל צירוף.
3. סריקת הבלוקצ'יין לאיתור כתובות עם יתרות.
4. העברת הביטקוין מכתובות הקורבנות לכתובות בשליטת התוקפים.

חברת מחקר הבלוקצ'יין Galaxy Research מיפתה את הגניבות וזיהתה לפחות שלושה אשכולות תוקפים נפרדים . כמה דיווחים העלו את האפשרות שביקורת קוד בסיוע כלי בינה מלאכותית סייעה לחשוף את הפגם. במקביל, כלי AI כנראה הקלו על הסריקה האדירה של זרעים, מפתחות ויתרות שנדרשה כדי לבצע את הגניבה בהיקף כזה .

המשמעות הרחבה יותר היא שכלי AI אינם רק אמצעי הגנה: הם עשויים גם להאיץ את גילוי החולשות בקוד פתוח ואת הפיכתם של ממצאים כאלה למתקפות מעשיות.

מי היה בסיכון?

• מכשירים פגיעים: לפי ההתראות והניתוחים שפורסמו, הסיכון כלל מכשירי Coldcard מדגמי Mk2 ו־Mk3 שפעלו בגרסאות קושחה מסוימות החל מ־4.0.1 ועד 4.1.9, ובהתראה הרחבה יותר עד 5.0.3 .
• מי לא נחשב פגיע: משתמשים שיצרו את הזרע באמצעות הטלת קוביות, הוסיפו סיסמת BIP 39, או השתמשו בקושחה 4.2.0 ומעלה לא נחשבו פגיעים. לפי החומר שסופק, דגם Mk4 לא הושפע .
• היקף הנזק: יותר מ־5,200 כתובות ביטקוין, המשתייכות ליותר מ־4,500 ארנקים, נוקזו .
• התקיפה הגדולה ביותר: ב־30 ביולי רוקנו התוקפים 1,196 כתובות והעבירו מהן 1,082.65 BTC, בשווי של כ־70.2 מיליון דולר, בתוך 41 דקות .

נקודה חשובה: עדכון קושחה אינו הופך זרע שכבר נוצר לבטוח. משתמשים שנמצאו בסיכון נדרשו ליצור ארנק חדש בקושחה מתוקנת או עם מקור אנטרופיה עצמאי, ולאחר מכן להעביר אליו את הכספים .

תגובת Coinkite והקורבנות

Coinkite, יצרנית Coldcard, פרסמה ב־30 ביולי 2026 הודעת אבטחה פומבית והזהירה משתמשי Mk2 ו־Mk3 שארנקים שנוצרו בגרסאות הפגיעות עלולים להיות חשופים . החברה המליצה להעביר את הכספים באופן מיידי לארנקים חדשים שנוצרו בקושחה מתוקנת או באמצעות הטלת קוביות .

בהמשך פרסמה Coinkite קושחה מתוקנת, מגרסה 5.0.4 ומעלה, שנועדה להחזיר את השימוש התקין ב־TRNG . היא גם פרסמה ציר זמן שקישר את התקלה לשינוי הקוד ממרץ 2021 ושיתפה פעולה עם חברות ניתוח בלוקצ'יין, בהן Galaxy Research ו־Block, כדי לעקוב אחר הכספים .

עבור הקורבנות, התגובה הייתה כאוטית. משתמשים רבים גילו את הבעיה רק לאחר שהארנקים שלהם התרוקנו, וב־30 ביולי הופיעו ברשתות החברתיות דיווחים רבים על יתרות שנעלמו . במקביל צצו אתרי בדיקה שונים, וחלקם נחשדו כניסיונות פישינג.

במקרה של שחזור זרע, אין בדרך כלל גורם מרכזי שמחזיק את הכספים או יכול לבטל את העסקה. לכן אפשרויות ההשבה של הקורבנות מוגבלות במיוחד.

מה אמרה Ledger?

Ledger הצהירה שהמכשירים שלה לא הושפעו מהחולשה הזו. לפי החברה, ארנקי Ledger משתמשים ב־TRNG מאושר המובנה בשבב Secure Element ומפיקים אנטרופיה מלאה של 256 ביטים עבור משפטי השחזור .

ההצהרה אינה אומרת שכל ארנק חומרה חסין מפני כל סוג של תקיפה; היא מתייחסת לחולשת יצירת הזרעים הספציפית שנחשפה ב־Coldcard.

ההשפעה על שוק הקריפטו ועל משמורת עצמית

הפריצה לא גרמה לקריסה משמעותית במחיר הביטקוין, אך הוסיפה לחץ שלילי בתקופה שגם כך הייתה תנודתית . ההשפעה המרכזית הייתה על האמון במודל של משמורת עצמית — הרעיון שהמשתמש מחזיק בעצמו את המפתחות ואינו תלוי בבורסה או בבנק.

Coldcard נחשבה במשך שנים למוצר המיועד למשתמשים שמעדיפים אבטחה קפדנית במיוחד, ולכן האירוע פגע במוניטין שלה והעלה שאלה לא נוחה: האם ארנק מנותק מהרשת באמת בטוח אם עדכון קושחה יכול לפגוע בשקט באיכות האקראיות?

בעקבות האירוע התחזקו הקריאות להשתמש בשילוב של:

• ארנקי מולטי־סיג, שבהם נדרשים כמה מפתחות לאישור עסקה;
• משפטי שחזור המוגנים באמצעות סיסמת BIP 39;
• מקורות אנטרופיה שניתן לאמת, כגון הטלת קוביות;
• בדיקה קפדנית של גרסת הקושחה ושל תהליך יצירת הארנק .

האירוע גם הפך את הדיון על אבטחת קוד פתוח ועל ביקורת קוד באמצעות AI למוחשי יותר. חולשה שנשארת חבויה במשך שנים עלולה להיחשף בבת אחת — ולהפוך למתקפה אוטומטית בקנה מידה גדול.

מה מצב הכספים הגנובים?

נכון ל־7 באוגוסט 2026, רוב הכספים עדיין לא הוצאו לפדיון ונמצאים בכתובות ציבוריות שהתנועות בהן מנוטרות. במובן המעשי, חלק גדול מהם "קפוא לעיני כול" — אך הוא עדיין לא הוחזר לקורבנות.

• האשכול הגדול ביותר: תוקף מרכזי מחזיק בכ־1,159 BTC, בשווי של כ־72.7 מיליון דולר, בשבע כתובות. נכון ל־5 באוגוסט, הכספים הללו לא נשלחו לשירות ערבול ולא הועברו לבורסה מזוהה לצורך פדיון .
• אשכול נוסף: קבוצה אחרת העבירה כ־64 BTC דרך Wasabi וכ־200 ETH דרך Tornado Cash בין 4 ל־6 באוגוסט . לפי הדיווחים, ייתכן שמדובר בתוקפים קטנים יותר שהשיגו מאגר חלקי של זרעים.
• תנועה נוספת: ב־7 באוגוסט הועברו 30.185 BTC, בשווי של כ־1.94 מיליון דולר, לארנק חדש מאשכול שקשור לתוקף שעל פי ההערכות החזיק כ־2,055 BTC .
• התמונה הכוללת: נכון ל־4 באוגוסט, כ־90% מתוך כ־1,600 BTC שנגנבו לא זזו מאז ההעברה הראשונית. לא דווח על ביטקוין שנפדה דרך בורסה מוכרת, ומהאשכול הגדול ביותר לא נכנס ביטקוין לשירות ערבול .

היתרון של החוקרים במקרה הזה הוא שהבלוקצ'יין פתוח: כל תנועה מתועדת וניתנת למעקב. לכן לתוקפים קשה להעביר סכומים גדולים לבורסות או להמיר אותם לכסף בלי לעורר התראות. עם זאת, מעקב אינו שקול להשבה — ונכון לדיווחים האחרונים לא אושר בפומבי חילוט משטרתי או החזרת כספים לקורבנות.