Deweloper ograniczył zakupy Bitcoina po luce w Coldcard

René Pickhardt, deweloper związany z ekosystemem Bitcoina, przyznał, że ograniczał kupno BTC po ujawnieniu luki w portfelach sprzętowych Coldcard. Luka dotyczyła sposobu generowania fraz odzyskiwania w określonych wersjach oprogramowania układowego.

Badacze bezpieczeństwa ustalili, że proces generowania fraz mógł wykorzystywać mniej losowe dane niż zakładano. W rezultacie teoretycznie możliwe było odtworzenie części kluczy prywatnych bez fizycznego dostępu do urządzenia.

Producent portfela, firma Coinkite, opublikował poprawkę usuwającą błąd. Firma zaznaczyła, że aktualizacja nie chroni fraz wygenerowanych wcześniej; użytkownicy, którzy korzystali z podatnych wersji firmware, powinni wygenerować nową frazę odzyskiwania i przenieść środki na nowe adresy.

Analitycy z Galaxy Research oszacowali, że w kilku falach ataków mogło zostać skradziono około 1 755 BTC. Dochodzenie w sprawie kradzieży trwa, a ostateczna skala strat nie została potwierdzona.

W publicznym wpisie Pickhardt wyjaśnił, że kwestie bezpieczeństwa i zarządzania kluczami prywatnymi zawsze budziły jego obawy, a ograniczenie zakupów traktował jako działanie w ramach zarządzania ryzykiem, nie jako krytykę Bitcoina.

Prezes Blockstream, Adam Back, przypomniał, że samodzielne przechowywanie daje użytkownikom pełną kontrolę nad środkami, ale jednocześnie nakłada na nich pełną odpowiedzialność za ich zabezpieczenie.

Specjaliści podkreślają, że podatność dotyczyła wyłącznie wybranych wersji oprogramowania Coldcard, a nie protokołu Bitcoina. Różni producenci stosują odmienne mechanizmy generowania kluczy, dlatego problem nie odnosi się automatycznie do innych portfeli sprzętowych.

Eksperci zalecają użytkownikom regularne aktualizowanie firmware, weryfikowanie źródeł oprogramowania i w przypadku podejrzenia kompromisu tworzenie nowych fraz odzyskiwania oraz przenoszenie środków na nowe adresy.

W sieci Bitcoin brak jest centralnego podmiotu, który mógłby przywrócić dostęp do środków lub cofnąć transakcję w razie utraty klucza prywatnego lub nieautoryzowanego transferu.