Kylmälompakot eivät ole enää turvallisia: Coldcardin laiteohjelmiston haavoittuvuus, Ledgerin toimitusketjuhyökkäys – kuuluvatko BTC:si todella sinulle?
Ostit kylmälompakon 1000 yuanilla, luulit omaisuutesi olevan täysin turvassa. Vuoden sisällä kaksi tapausta kertovat sinulle – kylmälompakko voi olla aikapommi.
Ensimmäinen pommi: Coldcard, et ole koskaan koskenut laitteeseen, mutta rahat ovat kadonneet.
Maaliskuussa 2021 kanadalainen laitteistolompakoiden valmistaja Coinkite toi Coldcardin laiteohjelmistoon vakavan virheen: laite ei käyttänyt todellista laitteiston satunnaislukugeneraattoria avainsanojen luomisessa, vaan ohjelmistopohjaista pseudorandom-lukugeneraattoria. Yksinkertaisesti sanottuna – se "satunnainen" ei ollutkaan satunnainen. Hyökkääjät eivät tarvitse koskea laitteeseesi tai edes olla yhteydessä verkkoon, vaan voivat matemaattisesti arvata avainsanasi massana.
Ensimmäinen hyökkäys tapahtui 30. heinäkuuta 2026. 25 minuutissa noin 594 BTC katosi 500 osoitteesta. Tämä oli vasta alkua. Sen jälkeen tuli vähintään kolme hyökkäysaaltoa, ja lopulta yli 1 816 BTC siirrettiin yli 5 200 osoitteesta, aiheuttaen noin 114–116 miljoonan dollarin tappiot.
Eräs käyttäjä kertoi, että hänen Coldcardinsa ei ole koskaan ollut internetissä, eikä avainsanat ole koskaan vuotaneet, mutta omaisuus varastettiin silti. Coinkiten virallinen vastaus oli vain yksi lause: maaliskuusta 2021 lähtien luodut avainsanat on pidettävä mahdollisesti vuotaneina. Laiteohjelmiston päivitys ei auta – jo luodut avainsanat eivät ole koskaan turvallisia, sinun täytyy luoda uudet avainsanat ja siirtää omaisuus.
Toinen pommi: Ledger, laite jonka ostit jälleenmyyjältä, saattaa olla manipuloitu.
9. lokakuuta Ledgerin käyttäjillä tapahtui laajamittainen varkaus, jossa menetettiin yli 86 miljoonaa dollaria, ja se koski satoja lompakoita Ethereumissa, TRONissa, Bitcoinissa ja muilla ketjuilla. Uhrit jakavat yhteisen piirteen: he ostivat laitteensa Kaakkois-Aasian jälleenmyyjältä CryptoBilis.
Mt. Goxin entinen toimitusjohtaja Mark Karpelès avasi Malesiasta tulleen Ledgerin ja löysi laitteen sisältä ylimääräisen piirilevyn, jossa oli LTE-moduuli ja eSIM. Tämä levy pystyy lukemaan näytölle lähetetyt signaalit, kaappaamaan avainsanat laitteen alustuksen aikana ja lähettämään ne mobiiliverkon kautta.
Luulit ostaneesi "virallisen valtuutetun jälleenmyyjän" laitteen, mutta laite on avattu, muokattu ja manipuloitu jo tehtaalta lähtiessään.
Entistäkin karumpi viesti on: koko DeFi-infrastruktuurin turvallisuusoletukset murtuvat yksi kerrallaan.
Balancerilta varastettiin 128 miljoonaa dollaria, Kelp DAO:lta 292 miljoonaa dollaria, Stream Finance:n syntetisoitu USD xUSD menetti arvonsa, Aaven kokonaislukittu arvo laski 5 päivässä 26 miljardista 14,2 miljardiin. Lainausprotokollista syntetisoituun dollariin, pörsseistä henkilökohtaisiin laitteistolompakoihin – jokainen kohta, jonka luulit "turvalliseksi", on kokenut ongelmia tänä vuonna.
Mitä sinun pitäisi tehdä? Kolme asiaa, tee ne tänään.
Ensinnäkin, osta laitteistolompakko virallisista kanavista. Älä osta jälleenmyyjiltä halvalla, älä osta kolmansilta osapuolilta. Ledgerin tapaus on jo osoittanut, että toimitusketjuhyökkäykset piilevät "valtuutettujen jälleenmyyjien" takana.
Toiseksi, Coldcardin käyttäjien tulee tarkistaa heti. Jos olet luonut avainsanat Coldcardilla maaliskuun 2021 jälkeen, luo tänään uusi lompakko ja siirrä omaisuutesi. Vanhoja avainsanoja ei ole koskaan turvallista käyttää.
Kolmanneksi, käytä moniallekirjoitusta suurille omaisuuksille. Yksittäisen allekirjoituksen lompakot ovat Coldcardin hyökkäysten pääkohde. Käytä Trezor Safe 7:n, Ledger Nanon ja Casan palautusavaimia muodostaaksesi 2/3 moniallekirjoituksen, jolloin yksikin laiteongelma ei vie omaisuuttasi. Älä laita kaikkia munia samaan koriin – äläkä anna yksityisavaintasi yhdelle laitteelle.
1011 opetti meille, että vivutus voi tappaa. Tämä vuosi opettaa meille – jopa kylmälompakot voivat pettää sinut.
Tässä markkinassa ainoa vihollinen turvallisuudelle on sinun tuurisi.
$BTC$ETH$ZEC#Ledger确认一台涉事设备遭硬件植入
Vastuuvapauslauseke: OKX Orbit -sisältö on tarkoitettu ainoastaan tiedotustarkoituksiin. Lisätietoja
