Luka w oprogramowaniu Coldcard mogła umożliwić kradzież 1 128 BTC o wartości 71,1 mln USD

Wykryta w oprogramowaniu portfeli sprzętowych Coldcard podatność, obecna od około pięciu lat, mogła pozwolić napastnikowi na odtworzenie części kluczy prywatnych i przejęcie ponad 1 100 bitcoinów. Producent urządzeń, kanadyjska firma Coinkite, sugeruje, że do namierzenia błędu mogła przyczynić się sztuczna inteligencja, choć nie ma na to dowodów. Najważniejsze informacje: - Ujawnione seedy powiązane z Coldcard mogły umożliwić przejęcie 1 128,4717 BTC, czyli ok. 71,1 mln USD. - Coinkite wskazuje, że AI mogła przyspieszyć wykrycie pięcioletniej luki, ale atrybucja pozostaje niepotwierdzona. - Użytkownicy, których seedy mogły zostać wygenerowane wadliwie, muszą utworzyć nowy portfel na poprawionym firmware. Skokowo skoordynowane transfery z setek portfeli Sprawa stała się publiczna po tym, jak 30 lipca z około 500 adresów Bitcoin typu single-signature przetransferowano łącznie ok. 594 BTC (wówczas blisko 38 mln USD). Bitcoin.com News zwrócił uwagę, że operacje przeprowadzono w ok. 25 minut i wyglądały na ukierunkowane na portfele z wspólną podatnością techniczną. Późniejsze analizy łańcucha bloków podniosły szacunki skali incydentu. Badacze ocenili, że w okresie ok. 41 minut mogło ucierpieć od 1 082 do 1 196 adresów. Własny panel monitorujący, Coldcard Sweep Watch, wskazał łączną wartość 1 128,4717 BTC, czyli ok. 71,1 mln USD przy kursie bitcoina bliskim 63 044 USD. Zrzut ekranu z 1 sierpnia 2026 r. (godz. 8:30 czasu wschodniego USA) pokazywał tę wartość; godzinę później estymacja wzrosła do 1 128,6633 BTC. Większość środków skonsolidowano na jednym adresie zawierającym setki bitcoinów; znaczna część pozostawała tam w dużej mierze bez ruchu. Wspólny mianownik: seedy wygenerowane na urządzeniach Coinkite Łącznikiem między dotkniętymi adresami było to, że ich frazy odzyskiwania (recovery seed) utworzono na portfelach Coldcard produkowanych przez Coinkite. Seed to lista słów zapewniająca kontrolę nad portfelem kryptowalutowym. Kto jest w stanie seed odtworzyć lub pozyskać, zwykle może przenieść środki bez posiadania urządzenia. Usterka dotyczyła generatora losowości Coinkite opublikował pilne ostrzeżenie, wskazując, że niektóre seedy tworzone na Coldcard mogły mieć zbyt niską entropię. Największe ryzyko dotyczyło urządzeń Mk3 z firmware 4.0.1 (wydanym około marca 2021 r.) oraz nowszych wersji. Dalsze ustalenia rozszerzyły obawy na seedy utworzone na części urządzeń Mk4, Mk5 i Q sprzed publikacji awaryjnych poprawek. Produkty Tapsigner, Opendime i Satscard miały nie być dotknięte, ponieważ korzystają z innego oprogramowania. Problem leżał w procesie generowania danych losowych. Bezpieczne portfele wymagają wysokiej jakości losowości, aby frazy odzyskiwania nie dawały się zgadnąć. W najpoważniej dotkniętych urządzeniach Mk3 seed mógł mieć jedynie ok. 40 bitów efektywnej losowości zamiast docelowych 128 bitów. Różnica jest zasadnicza: seed 128-bitowy uznaje się w praktyce za nie do złamania metodą brute force, natomiast 40 bitów drastycznie redukuje przestrzeń poszukiwań i umożliwia atakującemu testowanie kandydatów offline oraz porównywanie wyprowadzonych adresów z publicznym blockchainem Bitcoina. W niektórych nowszych urządzeniach efektywna losowość mogła wynosić ok. 72 bity dzięki dodatkowej warstwie nieprzewidywalnych danych z bezpiecznego sprzętu. To utrudnia odtworzenie, ale nadal znacząco odbiega od założeń. Błąd konfiguracji przetrwał pięć lat Źródłem podatności była pomyłka w konfiguracji na etapie budowania firmware, związana z dwiema funkcjami o podobnym przeznaczeniu. Jedna korzystała z hardware-owego generatora liczb losowych (true RNG), druga opierała się na słabszym mechanizmie programowym odziedziczonym po MicroPython. Coinkite zamierzał wyłączyć opcję MicroPython, lecz warunek w kodzie sprawdzał jedynie, czy etykieta konfiguracji jest zdefiniowana, a nie czy jej wartość ustawiono na zero. W efekcie finalny firmware mógł po cichu wybierać słabszą ścieżkę. Ponieważ obie funkcje miały zgodne formaty, oprogramowanie kompilowało się i działało bez wyraźnych błędów. Usterka trafiła do kodu w okolicach migracji w 2021 r. i pozostawała w publicznie dostępnych wersjach firmware przez ponad pięć lat. Sama aktualizacja urządzenia nie wzmacnia seeda wygenerowanego w okresie działania wadliwego oprogramowania. Użytkownicy muszą utworzyć całkowicie nowy seed na poprawionym firmware lub na innym bezpiecznym urządzeniu, a następnie przenieść środki na adresy kontrolowane przez nowy seed. Osoby, które podczas generowania seeda dodały co najmniej 50 niezależnych rzutów kością, mogły dostarczyć wystarczająco dużo dodatkowej losowości, by uniknąć osłabienia. Silna passphrase BIP39 mogła dodatkowo utrudnić rekonstrukcję, a portfele wielopodpisowe (wymagające podpisów z kilku niezależnych urządzeń) mogły uniemożliwić samodzielne przesunięcie środków przy kompromitacji pojedynczego seeda. Coinkite sugeruje udział AI, ale bez rozstrzygających dowodów CEO Coinkite Rodolfo Novak publicznie przeprosił i zadeklarował pełną odpowiedzialność za błąd firmware. Zapowiedział prace nad poprawkami, raportami technicznymi oraz wsparciem dla poszkodowanych. Firma i Novak przedstawili też hipotezę dotyczącą sposobu wykrycia podatności. Ponieważ kod firmware był publicznie dostępny od lat, Coinkite uważa, że ktoś mógł użyć AI do przeglądu starszych wersji i odnalezienia słabej ścieżki generowania losowości. W oświadczeniu na platformie X Novak napisał: "Do wszystkich innych deweloperów: uważamy, że to trzeźwa rzeczywistość nowego paradygmatu AI. Przegląd kodu wspomagany AI potrafi dziś znajdować uśpione błędy z prędkością, która wyprzedza nawet najbardziej doświadczonych ekspertów branży". Dodał też, że jeśli firmware jest open-source lub kiedykolwiek był publiczny, należy zakładać, że jest czytany zarówno przez atakujących, jak i obrońców. Nowoczesne systemy AI potrafią przetwarzać duże repozytoria i wskazywać podejrzane zależności między ustawieniami konfiguracyjnymi, funkcjami i założeniami bezpieczeństwa. Atakujący mógł zlecić modelowi wyszukiwanie słabych generatorów losowości, funkcji awaryjnych lub błędów wpływających na klucze kryptograficzne. Część obserwatorów informowała, że samodzielnie zidentyfikowała exploit Coldcard, korzystając z czołowych modeli AI. Niezależni badacze raportowali później użycie modeli AI do zlokalizowania lub wyjaśnienia problemu już po tym, jak znany był wątek dotyczący losowości. Pokazuje to, jak dostępna stała się analiza kodu wspomagana AI, ale nie dowodzi, że pierwotni sprawcy posługiwali się AI. Coinkite przyznał też, że wewnętrzny przegląd z użyciem wiodącego modelu AI nie wykrył podatności przed kradzieżą. To podkreśla, że AI nie znajduje automatycznie każdej krytycznej usterki; skuteczność zależy od sposobu zadania pytania, zakresu dostarczonego kodu i tego, czy człowiek rozumie sygnały ostrzegawcze. Krytycy: kluczowa była porażka procesu inżynierskiego Część specjalistów ds. bezpieczeństwa ocenia, że nadmierne skupianie się na AI odwraca uwagę od podstawowego błędu inżynierskiego. Według nich pomyłka konfiguracyjna to znany typ usterki, którą standardowe code review, testy lub audyt skoncentrowany na generowaniu seedów mogły wykryć lata wcześniej. Pojawiają się też głosy, że to zespół powinien był sam rozpoznać ryzyko. Te perspektywy nie muszą się wykluczać: luka powstała wskutek błędu człowieka i mogła trwać latami, a AI mogła obniżyć koszt znalezienia, zrozumienia lub wykorzystania podatności. Obrońcy muszą eliminować wszystkie niebezpieczne słabości, atakującemu wystarczy jedna. Incydent ponownie podnosi pytania o bezpieczeństwo open-source: publiczny kod umożliwia audyt społeczności, ale sama dostępność nie gwarantuje, że ktoś przeanalizuje właściwy fragment, rozpozna subtelną wadę i zgłosi ją, zanim zrobi to napastnik. Dla użytkowników Coldcard priorytetem jest ustalenie, kiedy i w jaki sposób wygenerowano seed. Osoby z potencjalnie dotkniętym seedem powinny weryfikować instrukcje wyłącznie w oficjalnych kanałach Coinkite, zainstalować poprawiony firmware, utworzyć nowy seed i ostrożnie przenieść środki, uważając na phishing i fałszywe wiadomości "support". W dłuższym horyzoncie kluczowe pozostaną pytania o łączną skalę strat, możliwość identyfikacji sprawcy oraz to, czy AI odegrała decydującą rolę w wykryciu luki. Producenci portfeli sprzętowych mogą też znaleźć się pod presją wzmocnienia testów entropii, audytu konfiguracji buildów oraz regularnego przeglądu starszego kodu zarówno przez ekspertów, jak i narzędzia AI używane w trybie adversarial.