کوینکایت، شرکت کانادایی پشت کیف پول سختافزاری کولدکارد، به کاربران هشدار داده است که ممکن است وجوه بیتکوین آنها در معرض خطر باشد اگر سید کیف پول آنها روی نسخههای خاصی از فرمور آسیبدیده تولید شده باشد.
این شرکت اعلام کرد که این مشکل تمام نسخههای فرمور Mk3 از نسخه 4.0.1 که در مارس 2021 منتشر شده را تحت تأثیر قرار میدهد و مربوط به انتروپی تولیدشده توسط دستگاه هنگام ایجاد سید است.
وجوه همچنان در معرض خطر
سیدهایی که روی Mk4 و Mk5 قبل از نسخه فرمور 5.6.0 و روی Q قبل از نسخه 1.5.0Q تولید شدهاند نیز تحت تأثیر قرار گرفتهاند، اگرچه کوینکایت گفته است تأثیر روی این مدلها کمتر اما همچنان جدی است. به گفته شرکت، سیدهای آسیبدیده حدود ۷۲ بیت انتروپی دارند در حالی که انتظار میرفت ۱۲۸ بیت باشد. طبق این بهروزرسانی، TAPSIGNER، OPENDIME و SATSCARD تحت تأثیر قرار نگرفتهاند زیرا از کدبیسهای متفاوتی استفاده میکنند.
کوینکایت به کاربران دارای دستگاههای آسیبدیده توصیه کرد که وجوه خود را به سید جدیدی که روی دستگاهی غیرآسیبدیده تولید شده منتقل کنند. این شرکت گفت کاربران Mk4 و Mk5 باید ابتدا به نسخه فرمور 5.6.0 یا بالاتر ارتقا دهند و کاربران Q نیز باید نسخه 1.5.0Q یا بالاتر را قبل از تولید سید جایگزین نصب کنند.
همچنین به کاربران توصیه شد که از سید جدید پشتیبان تهیه کرده و آن را تأیید کنند، یک آدرس دریافت جدید را روی دستگاه تأیید کنند و قبل از انتقال باقیمانده وجوه، یک تراکنش آزمایشی کوچک ارسال نمایند. اگر Mk3 تنها گزینه موجود باشد، پیشنهاد شده است که به طور موقت از یک عبارت عبور BIP-39 قوی و منحصربهفرد استفاده شود و اثرانگشت کیف پول و آدرس دریافت با دقت بررسی گردد.
سرقت در مقیاس وسیع
این هشدار پس از آن صادر شد که چندین گزارش در ۳۰ ژوئیه منتشر شد مبنی بر اینکه بیتکوین از کیف پولهای کولدکارد خارج شده است. اطلس۲۱ گزارش داد که یک عملیات خودکار ۵۰۰ آدرس تکامضایی را در چهار بلاک متوالی، از ۹۶۰۱۸۸ تا ۹۶۰۱۹۱، جارو کرده است. این تراکنشها ۱۳۲۴ UTXO به ارزش مجموعاً ۵۹۴.۵ بیتکوین را منتقل کردند که با قیمتهای فعلی حدود ۳۸ میلیون دلار ارزش دارد. شواهد به کلیدهای خصوصی ضعیفی اشاره داشت که هنگام ایجاد کیف پولها تولید شده بودند.
هیچ کیف پول چندامضایی یا Taproot در میان قربانیان نبود.
میانگین ضرر ۰.۴۱ بیتکوین بود، در حالی که ۱۱۰ قربانی بیش از یک بیتکوین از دست دادند. بزرگترین ضرر ۲۹.۹ واحد از این دارایی رمزنگاری بود و هزینه عملیات حدود ۰.۰۴۴ واحد بابت کارمزد تراکنش بود. اطلس۲۱ گفت اولین هشدار عمومی از سوی یک قربانی در ردیت منتشر شد که گفته بود کولدکارد او عبارت سید ۲۴ کلمهای را در سال ۲۰۲۱ تولید کرده و این سید هرگز روی کامپیوتر وارد نشده بود.
با وجود این سرقت گسترده، قیمت بیتکوین بدون تغییر باقی ماند و همچنان نزدیک به ۶۴ هزار دلار معامله میشد.