Innlegg

Kaldbørser er ikke trygge lenger: Coldcard firmware-sårbarhet, Ledger forsyningskjedeangrep – tilhører dine BTC virkelig deg? Du brukte 1000 yuan på en kaldbørs, trodde eiendelene dine var helt sikre. To hendelser i løpet av ett år viser at kaldbørser også kan være tidsinnstilte bomber. Den første bomben: Coldcard, du har aldri rørt enheten, men pengene er borte. I mars 2021 introduserte den kanadiske maskinvarebørsprodusenten Coinkite en dødelig feil i Coldcard-firmware: Enheten brukte ikke den ekte maskinvarebaserte tilfeldige tallgeneratoren ved generering av mnemonic, men en programvarebasert pseudotilfeldig generator. Med andre ord – det du trodde var "tilfeldig" var det ikke. Angripere trengte ikke engang å røre enheten din eller ha den på nett for å matematisk kunne regne ut mnemonic i stor skala. Det første angrepet skjedde 30. juli 2026. Omtrent 594 BTC forsvant fra 500 adresser på 25 minutter. Dette var bare starten. Deretter kom minst tre angrepsbølger til, og til slutt ble over 1 816 BTC flyttet fra mer enn 5 200 adresser, med et tap på rundt 114 til 116 millioner dollar. En bruker sa at hans Coldcard aldri hadde vært koblet til internett, og mnemonic hadde aldri lekket, men eiendelene ble likevel stjålet. Coinkites offisielle svar var bare én setning: Mnemonics generert siden mars 2021 må anses som lekket. Oppgradering av firmware hjelper ikke – mnemonics som allerede er generert er aldri trygge, du må lage nye mnemonics og flytte eiendelene. Den andre bomben: Ledger, enheten du kjøpte fra en forhandler kan ha blitt tuklet med. 9. oktober opplevde Ledger-brukere et stort tyveri med tap på over 86 millioner dollar, som involverte hundrevis av lommebøker på flere kjeder som Ethereum, TRON og Bitcoin. Ofrene hadde én fellesnevner: De kjøpte enhetene via den sørøstasiatiske forhandleren CryptoBilis. Tidligere Mt. Gox-CEO Mark Karpelès åpnet en Ledger fra Malaysia og fant et ekstra kretskort med LTE-modul og eSIM. Dette kortet kan lese signaler som sendes til skjermen, fange mnemonic under initialisering og sende det ut via mobilnett. Du trodde det var en "offisiell autorisert forhandler", men enheten ble åpnet, modifisert og tuklet med allerede fra fabrikken. Det mest bekymringsfulle signalet er at hele sikkerhetsantakelsen for DeFi-infrastrukturen blir brutt ned én etter én. Balancer ble frastjålet 128 millioner dollar, Kelp DAO 292 millioner dollar, Stream Finance sin syntetiske dollar xUSD mistet peggen, og Aave sin totale låste verdi falt fra 26 milliarder til 14,2 milliarder på fem dager. Fra utlånsprotokoller til syntetiske dollar, fra børser til personlige maskinvarebørser – hvert "sikkert" ledd har hatt problemer dette året. Hva bør du gjøre? Tre ting, gjør dem i dag. Først, kjøp maskinvarebørs kun via offisielle kanaler. Ikke vær fristet til å kjøpe fra forhandlere eller tredjepart. Ledger-hendelsen har vist at forsyningskjedeangrep skjuler seg bak ordene "autoriserte forhandlere". For det andre, Coldcard-brukere må sjekke umiddelbart. Hvis du har generert mnemonics på Coldcard etter mars 2021, lag en ny lommebok og flytt eiendelene i dag. Gamle mnemonics er permanent usikre. For det tredje, bruk multisignatur for store eiendeler. Enkelt-signatur lommebøker er hovedmålet for Coldcard-angrep. Bruk 2-av-3 multisignatur med Trezor Safe 7, Ledger Nano og Casa gjenopprettingsnøkler. Hvis én enhet svikter, er eiendelene dine fortsatt trygge. Ikke legg alle egg i én kurv – og aldri gi private nøkler til én enkelt enhet. 1011 lærte oss at giring kan drepe. Dette året lærer oss at selv kaldbørser kan forråde deg. I dette markedet er den eneste fienden for sikkerheten din din egen tilfeldighet. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入