Coinkite روز پنجشنبه یک هشدار امنیتی منتشر کرد و درباره یک مشکل مداوم که بذرهای (seeds) تولید شده در دستگاه‌های Coldcard Mk3 را تحت تاثیر قرار می‌دهد، هشدار داد.

این سازنده سخت‌افزار رمزارز نوشت: "Coinkite از باب احتیاط فراوان به همه کاربرانی که با استفاده از یک Mk3 با نسخه 4.0.1 (مارس 2021) یا هر نسخه بعدی، یک بذر (seed) تولید کرده‌اند، هشدار می‌دهد که ممکن است وجوهشان در معرض خطر باشد."

Coinkite اعلام کرد که این مشکل تا نسخه فریم‌ور 5.0.3 وجود دارد که آخرین نسخه پشتیبانی‌کننده Mk3 است. این شرکت گفت: "بر اساس تحلیل اولیه ما از این مشکل، Mk4، Q و Mk5 تحت تأثیر قرار نگرفته‌اند."

Coinkite افزود، کاربرانی که یک عبارت عبور (passphrase) BIP-39 را بر روی یک بذر (seed) Mk3 آسیب‌دیده اعمال کرده‌اند، در معرض خطر محدودی قرار دارند.

۵۹۴ بیت کوین

پست مشاوره‌ای به دنبال گزارش‌های متعدد آنلاین و شبکه‌های اجتماعی در ۳۰ جولای مبنی بر خالی شدن بیت‌کوین از کیف پول‌های Coldcard کاربران منتشر شد. طبق گزارشی از Atlas 21، تقریباً ۵۹۴.۵ بیت‌کوین (معادل ۳۸.۳ میلیون دلار) از ۵۰۰ آدرس تک-امضا (single-signature) در یک سری تراکنش‌های هماهنگ که بلاک‌های ۹۶۰۱۸۸ تا ۹۶۰۱۹۱ بیت‌کوین را شامل می‌شد، برداشت شد.

در حالی که Coinkite ارتباط بین سرقت و مشکل امنیتی را تأیید نکرده است، برخی از کارشناسان بلاک‌چین، این برداشت‌ها را به ضعف آنتروپی (entropy) در بذرهای (seeds) تولید شده در دستگاه‌های Coldcard Mk3 مرتبط دانسته‌اند.

جیمز اوبرن، توسعه‌دهنده بیت‌کوین، در X نوشت که کاربرانی که بیت‌کوین آن‌ها با یک کلید واحد تولید شده در Coldcard Mk3 بین سال‌های ۲۰۲۱ تا ۲۰۲۳ – بدون استفاده از تاس‌ریزی، عبارت عبور (passphrase) یا امضای چندگانه (multi-signature) – محافظت شده بود، باید در اسرع وقت وجوه خود را منتقل کنند. در حالی که تحلیل اولیه Coinkite مدل‌های Mk2 و Mk4 را مستثنی می‌کند، اوبرن گفت که ممکن است این مدل‌ها نیز تحت تأثیر قرار گیرند.

به طور جداگانه، کلی گرت از تیم مهندسی و امنیتی Block نوشت که این شرکت مجموعه دیگری از تراکنش‌ها را شناسایی کرده است که می‌تواند بخشی از برداشت مربوط به Coldcard باشد.

گرت گفت: "۶۹۵ تراکنش قبلی با همان اثر انگشت (fingerprint) کامل که تراکنش‌های مجموعه شناخته شده داشتند، وجود دارد." "این تراکنش‌ها ۴۸۸.۱۰۹۵۷۹۴۸ بیت‌کوین دیگر را جابجا کردند. اگر این بخشی از همان حمله باشد، مجموع کل به ۱,۰۸۲.۵۸۶۸۰۴۳۲ بیت‌کوین می‌رسد." 

توصیه‌ها

در آخرین اطلاعیه مشاوره‌ای خود، Coinkite به کاربران Mk3 توصیه کرد که یک عبارت عبور (passphrase) قوی و منحصر به فرد BIP-39 را روی دستگاه ایجاد کرده و وجوه خود را به کیف پول حاصله منتقل کنند.

به عنوان یک گزینه پیشرفته، کاربران می‌توانند یک بذر (seed) جایگزین را در یک Mk3 خالی با فریم‌ور 4.1.9 از طریق مسیر اختصاصی تاس‌ریزی (dice-roll path) تولید کنند، و حداقل ۹۹ بار تاس شش‌وجهی عادلانه را به طور مستقل پرتاب کنند. این روش توالی تاس‌ریزی را مستقیماً هش می‌کند و از تولیدکننده اعداد تصادفی (random-number generator) دستگاه استفاده نمی‌کند.

Coinkite گفت رویکرد بلندمدت ترجیحی، مهاجرت به یک بذر (seed) جدید است که بر روی یک مدل Coldcard سالم تولید شده باشد. این تیم توصیه کرد: "هنگام مهاجرت به یک کلید جدید، باید آرامش و دقت به کار گرفته شود. عجله در مهاجرت کیف پول می‌تواند ریسک فوری‌تری نسبت به مشکلی که قصد حل آن را دارید، ایجاد کند."

علت دقیق مشکل امنیتی هنوز توسط تیم تأیید نشده است. Coinkite افزود: "ما همچنان در حال بررسی هستیم. جزئیات بیشتر به زودی اعلام خواهد شد."

The Block برای اظهار نظر بیشتر با Coinkite تماس گرفته است.