Koreańczycy uniknęli strat po exploicie Coldcard

Błąd w generatorze liczb losowych w niektórych urządzeniach Coldcard umożliwił atakującym kradzież 1 596 BTC z około 7 300 adresów w kilku potwierdzonych falach. Wliczając podejrzane, niepotwierdzone przypadki, szacunki strat rosną do około 2 000 BTC.

Producent zidentyfikował wadliwe egzemplarze, zniszczył pozostałe urządzenia uznane za podatne i wezwał użytkowników do wygenerowania nowych fraz seed.

Analityk Koji Higashi wskazał, że użytkownicy w Korei Południowej ponieśli minimalne straty dzięki praktykom bezpieczeństwa polegającym na generowaniu entropii i tworzeniu seedów poza urządzeniem producenta.

Z opisanych praktyk wynikały kroki analogowe: używanie kostki lub rzutu monetą do uzyskania prawdziwej losowości, zapisywanie wyników, przekształcanie ich offline w ciągi bitów i konwersja na słowa BIP39. Dla 12‑słowowego seeda potrzeba 128 bitów losowości, dla 24‑słowowego 256 bitów; bity są łączone, obliczana jest suma kontrolna (SHA-256) i wynik mapowany na listę słów BIP39.

Operacje konwersji i obliczania sumy kontrolnej wykonywano offline przy użyciu kalkulatora, nie smartfona. Użytkownicy porównywali wydruki list słów i korzystali z urządzeń z izolacją sieciową (air‑gap), takich jak SeedSigner, wyłącznie do weryfikacji sumy kontrolnej.

Dodatkowe zabezpieczenia obejmowały stosowanie passphrase generowanych kostką lub innych niezależnych źródeł entropii oraz odmowę polegania jedynie na sprzętowej losowości dostarczanej przez producenta.

Higashi zauważył, że większe straty w społecznościach anglojęzycznych wiązały się z zaufaniem do rekomendacji influencerów powiązanych z producentem i rzadszą niezależną weryfikacją procesu generowania losowości.

W ocenie analityka mantra Bitcoina „nie ufaj, weryfikuj” powinna obejmować także źródła informacji, nie tylko ocenę kodu.