Kerugian Bitcoin yang terkait dengan kerentanan Coldcard meningkat menjadi $70 juta, menurut Galaxy Research

Galaxy Research mengatakan pada hari Jumat bahwa hampir 1.200 alamat telah dikuras lebih dari 1.000 BTC, senilai sekitar $70 juta dalam transaksi yang terkait dengan kerentanan yang memengaruhi dompet perangkat keras Coldcard.

Pada hari Kamis, Coinkite menyarankan bahwa ada masalah yang sedang berlangsung yang memengaruhi seed yang dihasilkan pada perangkat Coldcard Mk3. "Untuk kehati-hatian ekstra, Coinkite memperingatkan semua pengguna yang membuat seed menggunakan Mk3 pada versi 4.0.1 (Maret 2021) atau versi setelahnya bahwa dana mereka bisa berisiko," kata pembuat perangkat keras crypto tersebut.

Coinkite kemudian memperluas peringatan tersebut untuk mencakup beberapa versi firmware Mk4, Mk5 dan Coldcard Q tertentu, serta merilis pembaruan firmware darurat untuk semua model yang terdampak.

Novak juga menyarankan bahwa kerentanan tersebut mungkin telah ditemukan menggunakan kecerdasan buatan, menyebut insiden ini sebagai "kenyataan serius dari paradigma AI baru." Ia memperingatkan bahwa tinjauan kode berbantuan AI dapat mengidentifikasi bug tersembunyi lebih cepat daripada pakar keamanan berpengalaman sekalipun, sehingga memungkinkan penyerang mengeksploitasi kelemahan di kode yang tersedia secara publik.

Kami memetakan aliran dana untuk kerentanan Coldcard berdasarkan pola yang diidentifikasi oleh para engineer di Block dan dibagikan oleh [Clay Garrett]: 1.196 alamat dikuras penuh untuk 1.082,65 BTC (~$70,2 juta) antara 01:10:20 dan 01:51:26 UTC 30 Juli."

"Sifat kerentanan ini berarti serangan di masa depan mungkin terjadi pada alamat yang dihasilkan Coldcard dan tidak harus mengikuti pola ini," kata Galaxy Research juga pada hari Jumat. "Polanya memberi tahu kita bahwa ini semua dilakukan oleh penyerang yang sama — pola ini tidak menangkap serangan itu sendiri, yang terlihat sama seperti jika pemilik coin memilih untuk memindahkan coin."

Coinkite mengatakan pengguna harus memperbarui firmware mereka dan membuat seed baru. Mereka juga harus menguji wallet baru dengan transaksi kecil sebelum mentransfer semua dana, dan menyimpan cadangan lama hingga transaksi selesai.