Atak na Coldcard za 116 mln dolarów. Jak błąd firmware’u załamał losowość portfeli Bitcoin

Najważniejsze jest to, że atak nie wymagał dostępu do urządzeń. Problem tkwił w sposobie generowania fraz odzyskiwania.

Błąd, który zniszczył losowość

Źródłem podatności był błąd w kompilacji firmware’u, wprowadzony w commicie z 1 marca 2021 r. i dostarczony w firmware’ze Coldcard Mk3 w wersji 4.0.1 .

Coldcard korzysta z dedykowanego sprzętowego generatora liczb losowych, określanego jako TRNG (True Random Number Generator). Wadliwa zmiana sprawiała jednak, że urządzenie pomijało ten generator i przechodziło na programowy mechanizm zastępczy .

Zamiast korzystać z odpowiednio losowej entropii, mechanizm opierał się na danych, które można było przewidzieć — między innymi numerze seryjnym układu i wewnętrznym zegarze urządzenia . W efekcie przestrzeń możliwych wyników skurczyła się z zakładanych 256 bitów do rozmiaru, który można było przeszukać obliczeniowo. Frazy seed wygenerowane na podatnym urządzeniu przestały być w praktyce losowe .

Napastnik, znając zakres podatnych wersji firmware’u, mógł offline wyliczać możliwe wartości numerów seryjnych i czasu, generować odpowiadające im frazy 12- lub 24-wyrazowe, a następnie odtwarzać klucze prywatne. Nie musiał przy tym dotknąć fizycznego portfela .

Jak przeprowadzono atak

Najbardziej prawdopodobny scenariusz obejmował masową enumerację słabych seedów:

1. wygenerowanie możliwych kombinacji wynikających z przewidywalnego generatora,
2. wyprowadzenie odpowiadających im kluczy prywatnych i adresów,
3. sprawdzenie sald w publicznym blockchainie,
4. przelanie środków z adresów, na których znajdował się Bitcoin.

Galaxy Research, firma analizująca dane on-chain, powiązała główne kradzieże z co najmniej trzema odrębnymi klastrami napastników .

Część publikacji sugerowała, że do wykrycia błędu mogły zostać wykorzystane narzędzia wspomagane przez sztuczną inteligencję. AI niemal na pewno ułatwiła również masowe przeszukiwanie możliwych seedów i sald, choć udział takich narzędzi w odkryciu podatności nie został jednoznacznie potwierdzony . To właśnie ten element wywołał dyskusję o nowej klasie zagrożeń: automatycznym wyszukiwaniu błędów w otwartym oprogramowaniu portfeli.

Kto był zagrożony?

Największe ryzyko dotyczyło użytkowników urządzeń Coldcard Mk2 i Mk3 korzystających z określonych wersji firmware’u — od 4.0.1 do 4.1.9, a w szerszych ostrzeżeniach także z wersji do 5.0.3 . Szczególnie narażone były osoby, które:

• wygenerowały 12- lub 24-wyrazową frazę seed bez dodatkowej entropii z rzutów kośćmi,
• nie użyły dodatkowego hasła BIP39,
• przechowywały środki na adresach wyprowadzonych z takiej frazy.

Według dostępnych analiz opróżniono ponad 5 200 adresów należących do ponad 4 500 portfeli . Największa pojedyncza operacja miała miejsce 30 lipca: w ciągu 41 minut napastnik opróżnił 1 196 adresów, przejmując 1 082,65 BTC, wówczas warte około 70,2 mln dolarów .

Za bezpiecznych uznawano użytkowników, którzy dodali entropię z rzutów kośćmi, zastosowali hasło BIP39 albo wygenerowali seed w firmware’ze 4.2.0 lub nowszym. Według dostępnych informacji model Mk4 nie był objęty tą konkretną podatnością .

Reakcja Coinkite i poszkodowanych

Coinkite, producent Coldcard, opublikował ostrzeżenie bezpieczeństwa 30 lipca 2026 r. Firma wezwała użytkowników zagrożonych urządzeń do natychmiastowego przeniesienia środków do nowych portfeli utworzonych na poprawionym firmware’ze albo z wykorzystaniem dodatkowej entropii z rzutów kośćmi .

Producent udostępnił poprawione wersje firmware’u, w tym wydania oznaczone jako 5.0.4+, które przywracały prawidłowe wykorzystanie sprzętowego generatora losowości . Opublikował także oś czasu prowadzącą do feralnego commitu z marca 2021 r. oraz współpracował z firmami analitycznymi, między innymi Galaxy Research i Block, przy śledzeniu skradzionych środków .

Samo zaktualizowanie urządzenia nie naprawia jednak już wygenerowanej frazy seed. Użytkownik musi utworzyć nowy portfel i przelać do niego środki .

Reakcja społeczności była chaotyczna. Wielu posiadaczy dowiedziało się o problemie dopiero po opróżnieniu portfeli. W mediach społecznościowych pojawiły się liczne relacje o znikających środkach, a wkrótce potem także strony oferujące rzekome narzędzia do sprawdzania zagrożonych adresów. Część z nich mogła służyć do phishingu .

Odzyskanie środków jest trudne, ponieważ Bitcoin nie ma centralnego depozytariusza, który mógłby anulować transakcję lub przywrócić saldo.

Co powiedział Ledger?

Ledger oświadczył, że jego urządzenia nie były dotknięte podatnością Coldcard. Firma wskazała, że korzysta z certyfikowanego sprzętowego generatora TRNG wbudowanego w układ secure element, który ma zapewniać pełną 256-bitową entropię dla każdej frazy odzyskiwania . To stanowisko dotyczy konkretnej podatności Coldcard, a nie ogólnej gwarancji bezpieczeństwa wszystkich portfeli sprzętowych.

Skutki dla rynku i idei samodzielnej ochrony środków

Atak nie doprowadził do gwałtownego załamania ceny bitcoina, choć dołożył się do negatywnego sentymentu na i tak zmiennym rynku . Znacznie poważniejsze konsekwencje dotyczą zaufania do portfeli sprzętowych.

Coldcard był często przedstawiany jako rozwiązanie dla użytkowników oczekujących szczególnie wysokiego poziomu kontroli i izolacji. Incydent pokazał jednak, że portfel „air-gapped”, czyli odseparowany od sieci, nadal może być podatny na błąd w firmware’ze. Izolacja urządzenia nie pomoże, jeśli samo urządzenie wygeneruje przewidywalny sekret.

W branży ponownie pojawiły się zalecenia, by przy większych zasobach rozważać:

• portfele wielopodpisowe,
• frazy seed zabezpieczone dodatkowym hasłem,
• niezależnie weryfikowane źródła entropii,
• regularne sprawdzanie wersji firmware’u i komunikatów bezpieczeństwa .

Sprawa stała się także argumentem w debacie o bezpieczeństwie otwartego oprogramowania. Jeśli narzędzia AI potrafią pomagać w analizie kodu, mogą przyspieszyć zarówno wykrywanie podatności przez badaczy, jak i ich wykorzystywanie przez napastników .

Co dzieje się ze skradzionymi bitcoinami?

Według danych dostępnych 7 sierpnia 2026 r. większość skradzionych środków pozostawała niewydana, ale była publicznie widoczna i stale monitorowana. To nie oznacza odzyskania pieniędzy — jedynie to, że napastnicy mają trudności z ich spieniężeniem bez pozostawienia śladu.

• Największy klaster: napastnik kontrolował około 1 159 BTC, rozłożonych na siedem adresów. Do 5 sierpnia żadne z tych środków nie trafiły do znanego miksera ani na giełdę służącą do wypłaty .
• Drugi klaster: grupa dysponująca około 64 BTC zaczęła między 4 a 6 sierpnia kierować środki do miksera Wasabi. Powiązane z nią około 200 ETH trafiło do Tornado Cash . Według analiz może chodzić o mniejszego operatora, który uzyskał dostęp tylko do części bazy słabych seedów.
• Kolejny ruch: 7 sierpnia napastnik, któremu przypisuje się kontrolę nad około 2 055 BTC, przesłał 30,185 BTC, wartych wówczas około 1,94 mln dolarów, do nowego portfela .
• Stan ogólny: około 90 proc. z mniej więcej 1 600 BTC skradzionych w analizowanym klastrze nie zostało przemieszczonych od czasu pierwszego transferu. Do 4 sierpnia nie odnotowano wypłaty przez znaną giełdę, a z największego klastra nie wysłano środków do miksera .

Publiczny charakter blockchaina działa tu na niekorzyść przestępców. Galaxy Research, Block, inne firmy analityczne, giełdy i organy ścigania mogą śledzić przepływ monet w czasie zbliżonym do rzeczywistego. Znaczna część środków pozostaje więc „zamrożona na widoku” — trudna do wykorzystania, lecz nadal nieodzyskana przez ofiary. Do najnowszego opisywanego momentu nie potwierdzono publicznie zajęcia tych środków przez organy ścigania .