Gli utenti di Coldcard Mk3 avvisati del rischio dopo che 594 BTC sono stati prelevati da 500 indirizzi

Coinkite, l'azienda canadese dietro il portafoglio hardware Coldcard, ha avvertito gli utenti che i fondi Bitcoin potrebbero essere a rischio se il loro seed del portafoglio è stato generato su determinate versioni del firmware interessate.

L'azienda ha dichiarato che il problema riguarda ogni rilascio del firmware Mk3 dalla versione 4.0.1, rilasciata a marzo 2021, ed è collegato all'entropia generata dal dispositivo utilizzata nella creazione dei seed.

Fondi ancora a rischio

I seed generati su Mk4 e Mk5 prima della versione del firmware 5.6.0, e su Q prima della versione 1.5.0Q, sono anch'essi interessati, sebbene Coinkite abbia affermato che l'impatto su quei modelli è meno grave ma rimane serio. Secondo l'azienda, i seed interessati hanno circa 72 bit di entropia invece dei 128 bit previsti. Secondo l'aggiornamento, TAPSIGNER, OPENDIME e SATSCARD non sono interessati perché utilizzano basi di codice diverse.

Coinkite ha esortato gli utenti con seed interessati a migrare i loro fondi su un seed appena generato su un dispositivo non interessato. L'azienda ha dichiarato che gli utenti Mk4 e Mk5 dovrebbero prima aggiornare alla versione del firmware 5.6.0 o successiva, mentre gli utenti Q dovrebbero installare la versione 1.5.0Q o successiva prima di generare un seed di sostituzione.

Gli utenti sono stati anche avvisati di eseguire il backup e verificare il nuovo seed, confermare un nuovo indirizzo di ricezione sul dispositivo e inviare una piccola transazione di prova prima di spostare i fondi rimanenti. Se l'Mk3 è l'unica opzione disponibile, è stato suggerito di utilizzare temporaneamente una frase segreta BIP-39 forte e unica e di verificare attentamente l'impronta del portafoglio e l'indirizzo di ricezione.

Furto su larga scala

L'avviso è arrivato dopo che diversi rapporti sono emersi il 30 luglio riguardo al Bitcoin che era stato drenato dai portafogli Coldcard. Atlas21 ha riportato che un'operazione automatizzata ha rastrellato 500 indirizzi a firma singola attraverso quattro blocchi consecutivi, da 960188 a 960191. Le transazioni hanno spostato 1.324 UTXO per un totale di 594,5 BTC, che valgono circa 38 milioni di dollari ai prezzi attuali. Le prove indicavano chiavi private deboli generate al momento della creazione dei portafogli.

Nessun portafoglio multisig o Taproot era tra le vittime.

La perdita mediana è stata di 0,41 BTC, mentre 110 vittime hanno perso più di un Bitcoin. La perdita più grande è stata di 29,9 unità dell'asset crittografico, mentre l'operazione è costata circa 0,044 unità in commissioni di transazione. Atlas21 ha detto che il primo avviso pubblico è arrivato da una vittima su Reddit, che ha detto che il loro Coldcard aveva generato la frase seed di 24 parole nel 2021 e che il seed non era mai stato inserito su un computer.

Nonostante il massiccio drenaggio, il prezzo del Bitcoin è rimasto indifferente continuando a scambiare vicino ai 64.000 dollari.

Fonte: CryptoPotato