$70 milioni spariti in 40 minuti: CZ commenta il fallout di Coldcard

Changpeng Zhao (CZ) ha un avviso per i possessori di Bitcoin. Anche i portafogli hardware possono guastarsi. Ha parlato giorni dopo che un bug del firmware di Coldcard ha permesso ai ladri di scoprire le chiavi private e rubare 70 milioni di dollari.

I ricercatori di Galaxy e Block hanno tracciato il furto. Gli attaccanti hanno svuotato 1.196 portafogli in 41 minuti il 30 luglio. Nessuno ha toccato un singolo dispositivo.

CZ Sottolinea i Limiti del Cold Storage

CZ, il fondatore e ex CEO dell'exchange Binance, afferma che un portafoglio può essere vecchio, fidato e comunque rotto.

Quando ha pubblicato, i primi rapporti indicavano una perdita di 38 milioni di dollari. La cifra reale si è rivelata quasi il doppio.

“Anche i portafogli hardware possono avere bug. Anche i portafogli vecchi (con una lunga storia) possono avere bug. Come mitigare? Forse suddividi i tuoi fondi in alcuni portafogli? Questo comporta un diverso insieme di rischi. Niente è al 100%. Rimani informato. Rimani SAFU!” ha scritto CZ.

Seguici su X per ricevere le ultime notizie in tempo reale

Il suo consiglio era di distribuire le monete su diversi portafogli. Ha anche ammesso che questo comporta nuovi rischi.

CZ è stato sincero ultimamente riguardo alle chiamate che ha sbagliato. Una era il mercato delle stablecoin che ha liquidato, ora vale oltre 300 miliardi di dollari.

Come il Bug del Firmware di Coldcard Ha Reso Indovinabili i Seed

Ogni portafoglio inizia con un enorme numero segreto. Si chiama seed. Ogni chiave e indirizzo cresce da esso. Quel numero deve essere casuale. Coldcard ha utilizzato un chip dedicato per renderlo casuale.

Poi è arrivato un errore di codifica nel marzo 2021. Il lavoro è passato silenziosamente a un backup debole. Quel backup si basava sul numero di serie del dispositivo e sul suo orologio. Entrambi possono essere calcolati.

Quindi il numero ha smesso di essere enorme. Gli ingegneri di Block hanno stimato il range a circa quattro miliardi di opzioni sui modelli più recenti. Un computer può elaborare tutto ciò.

I ladri hanno semplicemente costruito i semi da soli. Hanno trasformato ognuno in indirizzi. Poi hanno scansionato la blockchain pubblica per trovare corrispondenze finanziate.

Galaxy ha mappato le operazioni. Ognuna ha pagato esattamente la stessa commissione, ben al di sopra della norma. Nessuna ha lasciato resto. Questo è software, non una persona.

“L'intero evento si estende su sei blocchi e 41 minuti. Tre blocchi intermedi non contengono affatto attività di sweep, suggerendo che le transazioni sono state trasmesse in batch piuttosto che in streaming,” hanno indicato i ricercatori di Galaxy.

I proprietari non possono ancora testare i propri semi

Coinkite ha inviato firmware corretto per ogni modello. Un aggiornamento non può riparare un seme che esiste già.

Se il tuo è esposto, hai bisogno di un seme nuovo e di un nuovo portafoglio. La copertura precedente di BeInCrypto sul furto di Coldcard illustra i passaggi.

Due cose aiutano. L'avviso dice che 50 o più lanci di dadi privati durante la configurazione mantengono un seme forte. Una buona passphrase aggiunge un'altra barriera, lo stesso gap segnalato per la mancanza di supporto per la passphrase BIP39 sui telefoni.

Non c'è ancora alcun test che puoi eseguire a casa. Block elenca anche il vecchio Mk2 come a rischio. L'avviso di Coinkite non lo nomina.

Le monete rubate non si sono mosse. Sono ferme in quattro portafogli.

Galaxy afferma che sono possibili ulteriori sweep mentre i semi deboli trattengono denaro. Block ha tracciato il ladro attraverso un account dati a pagamento e ha passato le sue scoperte alle autorità.

Sebbene sia stato un anno da record per le violazioni nel settore crypto, questa si distingue ancora. Conservare una chiave in sicurezza doveva essere la parte facile.

Fonte: BeInCrypto