Fastvaresårbarheten: En brutt entropi-kjede

En integrasjonsfeil i fastvaren fra mars 2021 førte til at Coldcard-enheter omgikk den dedikerte maskinvare-brikken for tilfeldighet under generering av seed-fraser og i stedet falt tilbake på en programvarebasert pseudotilfeldig tallgenerator . Feilen rammet fastvareversjon 4.0.1 til og med 4.1.9, men senere analyser utvidet omfanget til versjoner opp til 5.0.3 på Mk3-enheter .

På berørte Mk3-enheter kollapset den effektive entropien fra forventede 128 bits til så lavt som rundt 40 bits, noe som gjorde seed-frasene mulige å brute-force uten noen fysisk tilgang, phishing eller skadelig programvare . Coinkites egen analyse bekreftet senere at noen Mk3-frø hadde bare omtrent 40 bits entropi . En fastvaresjekk som skulle bekrefte at maskinvare-generatoren for tilfeldige tall var aktiv, var selv ødelagt av den samme oppdateringen, slik at feilen kunne forbli uoppdaget i over fem år .

Tekniske detaljer

Forskere fra Block (Square) publiserte en detaljert teknisk analyse 31. juli og sporet rotårsaken til en integrasjonsfeil i Coldcards kode for generering av tilfeldige tall. «COLDCARD-fastvaren inneholder en RNG-integrasjonsfeil som får ngu.random til å bruke MicroPythons deterministiske Yasmarang-reserve i stedet for STM32-maskinvare-RNG-en,» forklarte Blocks rapport . Dette betydde at seed-fraser ble generert ved hjelp av forutsigbare verdier – inkludert mikrokontrollerens serienummer og systemteller – i stedet for ekte maskinvare-basert tilfeldighet .

Hvor mye ble stjålet, og hvorfor varierer anslagene?

Tapstallene spenner fra 38 millioner til 130 millioner dollar, og det store spennet er ikke selvmotsigende – det gjenspeiler ulike øyeblikksbilder etter hvert som angrepet utviklet seg og forskerne utvidet sin kjedeanalyse.

Hvorfor tallene er forskjellige

• Bølger over tid: Angriperen(e) utførte minst fire separate runder mellom 30. juli og begynnelsen av august, og hver ny runde utvidet det kjente totalomfanget .
• BTC-prisvolatilitet: Rapporter angir tapene til Bitcoin-prisen på rapporteringstidspunktet, som svingte i løpet av hendelsesperioden.
• Gradvis oppdagelse av adresser: Forskerne identifiserte sårbare adresser gradvis. Tidlige tellinger inkluderte bare åpenbart tømte lommebøker, mens senere kjedeanalyser fra Galaxy Research og TRM Labs avdekket ytterligere berørte frø som ikke umiddelbart ble utnyttet .
• Coinkites datagap: Coinkite opplyste at de mangler kundedataene som trengs for å uavhengig verifisere totale tap på grunn av sitt personvernførste design, og har derfor avstått fra å bekrefte noe spesifikt tall .

Hvordan Coinkite Responderte

Coinkites respons var rask, men selskapet møtte en grunnleggende begrensning: Fordi sårbarheten lå i selve seed-genereringen, kunne en fastvareoppdatering ikke fikse frø som allerede var opprettet .

• 30. juli 2026: Coinkite sendte ut en nød-sikkerhetsrådgivning til Coldcard Mk3-eiere, og advarte om at midler knyttet til berørte fastvareversjoner var i faresonen .
• 31. juli 2026: Coinkite ga ut oppdatert fastvare for alle berørte modeller (4.2.0+ for Mk3; 5.6.0+ for Mk4 og Mk5; 1.5.0Q+ for Q) og publiserte et teknisk bakgrunnsdokument som forklarte rotårsaken . Selskapet la også ut et åpent brev der de kalte de foregående dagene «noen av de tøffeste i dette selskapets historie» og oppfordret alle brukere som hadde generert frø på Coldcard-enheter til umiddelbart å flytte midlene til nylig genererte frø .
• Tidlig august: Coinkite reverserte sin mangeårige datadedeleteringspolicy og kunngjorde at de nå ville beholde brukerdata for å møte potensielle juridiske forpliktelser som følge av innbruddet .
• Pågående: Coinkite forpliktet seg til å publisere en fullstendig teknisk rapport når det er trygt å gjøre det, men hadde ikke frigitt den per midten av august 2026 .

Hvordan forskerne Responserte

Det bredere sikkerhetsforskningsmiljøet mobiliserte raskt for å kartlegge omfanget av utnyttelsen og spore rotårsaken.

• Galaxy Research ledet kjederettsmedisinske undersøkelser, kartla den første 41-minutters tømmingen på 1 082,65 BTC og utvidet gradvis det kjente omfanget over fire angrepsbølger .
• Block (Square)-forskere publiserte en detaljert teknisk analyse 31. juli og sporet rotårsaken til RNG-integrasjonsfeilen .
• TRM Labs publiserte en omfattende hendelsesanalyse som estimerte ~1 816 BTC stjålet fra over 5 200 adresser, og kalte det det største maskinvarelommebok-innbruddet noensinne .
• En samfunnsdrevet hendelseslogg ble etablert for å spore det utviklende omfanget og tekniske detaljene .

Bredere ringvirkninger i bransjen

• Bitcoin.org fjernet Coldcard og Coldcard Q fra sine offisielle lommeboklister etter hendelsen, med henvisning til sine publiserte liste-kriterier .
• Hacket gjenopplivet debatten om selvforvaring, og noen analytikere argumenterte for at det kan presse investorer mot institusjonelle forvaringsløsninger eller Bitcoin-ETF-er . Opprettelsen av nye Bitcoin-lommebøker nådde likevel et 2026-høydepunkt i kjølvannet, delvis drevet av ofre som migrerte til nye seed-fraser .
• Sikkerhetsaksjer steg i påvente av økt gransking av maskinvaresikkerhet, mens BTC- og ETH-prisene forble stort sett stabile .
• Bransjeeksperter og enkelte medier spekulerte i at AI-assistert brute-forcing kan ha blitt brukt for å akselerere knekkingen av frø, men ingen definitive bevis er publisert . Coinkite selv erkjente at selv en intern gjennomgang med «en av de beste tilgjengelige AI-modellene» for å skanne fastvarekode hadde mislyktes i å oppdage feilen eller noen annen alvorlig sårbarhet .

Viktige lærdommer for brukere av maskinvarelommebøker

• En fastvareoppdatering fikser ikke et allerede kompromittert frø. Coinkite var tydelige: «Å oppdatere fastvaren reparerer ikke et frø som ble generert av berørt fastvare. Et nytt frø må genereres på den nyeste fastvaren, og midlene må flyttes til den nye lommeboken» .
• Manuelle entropikilder (terningkast, BIP 39-passord) reduserte sannsynligvis sårbarheten. Brukere som genererte sin egen entropi via Coldcards terningkast-funksjon eller brukte et BIP 39-ekstra passord, var betydelig mindre utsatt .
• Personvernførst design har en pris. Coinkites manglende evne til å verifisere tapstall eller kontakte berørte kunder stammet fra designprinsippet om ikke å lagre brukerdata – en avveining som ble en forpliktelse i en krise .

Fastvaresårbarheten: En brutt entropi-kjede

En integrasjonsfeil i fastvaren fra mars 2021 førte til at Coldcard-enheter omgikk den dedikerte maskinvare-brikken for tilfeldighet under generering av seed-fraser og i stedet falt tilbake på en programvarebasert pseudotilfeldig tallgenerator . Feilen rammet fastvareversjon 4.0.1 til og med 4.1.9, men senere analyser utvidet omfanget til versjoner opp til 5.0.3 på Mk3-enheter .

På berørte Mk3-enheter kollapset den effektive entropien fra forventede 128 bits til så lavt som rundt 40 bits, noe som gjorde seed-frasene mulige å brute-force uten noen fysisk tilgang, phishing eller skadelig programvare . Coinkites egen analyse bekreftet senere at noen Mk3-frø hadde bare omtrent 40 bits entropi . En fastvaresjekk som skulle bekrefte at maskinvare-generatoren for tilfeldige tall var aktiv, var selv ødelagt av den samme oppdateringen, slik at feilen kunne forbli uoppdaget i over fem år .

Tekniske detaljer

Forskere fra Block (Square) publiserte en detaljert teknisk analyse 31. juli og sporet rotårsaken til en integrasjonsfeil i Coldcards kode for generering av tilfeldige tall. «COLDCARD-fastvaren inneholder en RNG-integrasjonsfeil som får ngu.random til å bruke MicroPythons deterministiske Yasmarang-reserve i stedet for STM32-maskinvare-RNG-en,» forklarte Blocks rapport . Dette betydde at seed-fraser ble generert ved hjelp av forutsigbare verdier – inkludert mikrokontrollerens serienummer og systemteller – i stedet for ekte maskinvare-basert tilfeldighet .

Hvor mye ble stjålet, og hvorfor varierer anslagene?

Tapstallene spenner fra 38 millioner til 130 millioner dollar, og det store spennet er ikke selvmotsigende – det gjenspeiler ulike øyeblikksbilder etter hvert som angrepet utviklet seg og forskerne utvidet sin kjedeanalyse.

Hvorfor tallene er forskjellige

• Bølger over tid: Angriperen(e) utførte minst fire separate runder mellom 30. juli og begynnelsen av august, og hver ny runde utvidet det kjente totalomfanget .
• BTC-prisvolatilitet: Rapporter angir tapene til Bitcoin-prisen på rapporteringstidspunktet, som svingte i løpet av hendelsesperioden.
• Gradvis oppdagelse av adresser: Forskerne identifiserte sårbare adresser gradvis. Tidlige tellinger inkluderte bare åpenbart tømte lommebøker, mens senere kjedeanalyser fra Galaxy Research og TRM Labs avdekket ytterligere berørte frø som ikke umiddelbart ble utnyttet .
• Coinkites datagap: Coinkite opplyste at de mangler kundedataene som trengs for å uavhengig verifisere totale tap på grunn av sitt personvernførste design, og har derfor avstått fra å bekrefte noe spesifikt tall .

Hvordan Coinkite Responderte

Coinkites respons var rask, men selskapet møtte en grunnleggende begrensning: Fordi sårbarheten lå i selve seed-genereringen, kunne en fastvareoppdatering ikke fikse frø som allerede var opprettet .

• 30. juli 2026: Coinkite sendte ut en nød-sikkerhetsrådgivning til Coldcard Mk3-eiere, og advarte om at midler knyttet til berørte fastvareversjoner var i faresonen .
• 31. juli 2026: Coinkite ga ut oppdatert fastvare for alle berørte modeller (4.2.0+ for Mk3; 5.6.0+ for Mk4 og Mk5; 1.5.0Q+ for Q) og publiserte et teknisk bakgrunnsdokument som forklarte rotårsaken . Selskapet la også ut et åpent brev der de kalte de foregående dagene «noen av de tøffeste i dette selskapets historie» og oppfordret alle brukere som hadde generert frø på Coldcard-enheter til umiddelbart å flytte midlene til nylig genererte frø .
• Tidlig august: Coinkite reverserte sin mangeårige datadedeleteringspolicy og kunngjorde at de nå ville beholde brukerdata for å møte potensielle juridiske forpliktelser som følge av innbruddet .
• Pågående: Coinkite forpliktet seg til å publisere en fullstendig teknisk rapport når det er trygt å gjøre det, men hadde ikke frigitt den per midten av august 2026 .

Hvordan forskerne Responserte

Det bredere sikkerhetsforskningsmiljøet mobiliserte raskt for å kartlegge omfanget av utnyttelsen og spore rotårsaken.

• Galaxy Research ledet kjederettsmedisinske undersøkelser, kartla den første 41-minutters tømmingen på 1 082,65 BTC og utvidet gradvis det kjente omfanget over fire angrepsbølger .
• Block (Square)-forskere publiserte en detaljert teknisk analyse 31. juli og sporet rotårsaken til RNG-integrasjonsfeilen .
• TRM Labs publiserte en omfattende hendelsesanalyse som estimerte ~1 816 BTC stjålet fra over 5 200 adresser, og kalte det det største maskinvarelommebok-innbruddet noensinne .
• En samfunnsdrevet hendelseslogg ble etablert for å spore det utviklende omfanget og tekniske detaljene .

Bredere ringvirkninger i bransjen

• Bitcoin.org fjernet Coldcard og Coldcard Q fra sine offisielle lommeboklister etter hendelsen, med henvisning til sine publiserte liste-kriterier .
• Hacket gjenopplivet debatten om selvforvaring, og noen analytikere argumenterte for at det kan presse investorer mot institusjonelle forvaringsløsninger eller Bitcoin-ETF-er . Opprettelsen av nye Bitcoin-lommebøker nådde likevel et 2026-høydepunkt i kjølvannet, delvis drevet av ofre som migrerte til nye seed-fraser .
• Sikkerhetsaksjer steg i påvente av økt gransking av maskinvaresikkerhet, mens BTC- og ETH-prisene forble stort sett stabile .
• Bransjeeksperter og enkelte medier spekulerte i at AI-assistert brute-forcing kan ha blitt brukt for å akselerere knekkingen av frø, men ingen definitive bevis er publisert . Coinkite selv erkjente at selv en intern gjennomgang med «en av de beste tilgjengelige AI-modellene» for å skanne fastvarekode hadde mislyktes i å oppdage feilen eller noen annen alvorlig sårbarhet .

Viktige lærdommer for brukere av maskinvarelommebøker

• En fastvareoppdatering fikser ikke et allerede kompromittert frø. Coinkite var tydelige: «Å oppdatere fastvaren reparerer ikke et frø som ble generert av berørt fastvare. Et nytt frø må genereres på den nyeste fastvaren, og midlene må flyttes til den nye lommeboken» .
• Manuelle entropikilder (terningkast, BIP 39-passord) reduserte sannsynligvis sårbarheten. Brukere som genererte sin egen entropi via Coldcards terningkast-funksjon eller brukte et BIP 39-ekstra passord, var betydelig mindre utsatt .
• Personvernførst design har en pris. Coinkites manglende evne til å verifisere tapstall eller kontakte berørte kunder stammet fra designprinsippet om ikke å lagre brukerdata – en avveining som ble en forpliktelse i en krise .