Postare

Portofelele reci nu mai sunt sigure: vulnerabilitate în firmware-ul Coldcard, atac asupra lanțului de aprovizionare Ledger — chiar îți aparține BTC-ul tău? Ai cheltuit 1000 de yuani pe un portofel rece, crezând că activele tale sunt în siguranță absolută. În decurs de un an, două incidente ți-au arătat că portofelul rece poate fi și o bombă cu ceas. Prima bombă: Coldcard, nu ai atins niciodată dispozitivul, dar banii au dispărut. În martie 2021, producătorul canadian de portofele hardware Coinkite a introdus o vulnerabilitate fatală în firmware-ul Coldcard: dispozitivul nu a folosit cipul hardware de generare a numerelor aleatorii atunci când a generat fraza mnemonică, ci un generator software de numere pseudo-aleatorii. Pe scurt — ceea ce credeai că este „aleator” nu este de fapt aleator. Atacatorii nu au nevoie să atingă dispozitivul tău, nici măcar să fie conectați la internet, pot deduce matematic în masă fraza ta mnemonică. Primul atac a avut loc pe 30 iulie 2026. În 25 de minute, aproximativ 594 BTC au dispărut din 500 de adrese. A fost doar începutul. Au urmat cel puțin trei valuri de atacuri, în total peste 1.816 BTC au fost transferați din peste 5.200 de adrese, cu pierderi estimate între 114 și 116 milioane de dolari. Un utilizator a spus că Coldcard-ul său nu a fost niciodată conectat la internet, fraza mnemonică nu a fost niciodată divulgată, dar activele i-au fost furate. Răspunsul oficial al Coinkite a fost simplu: toate frazele mnemonice generate după martie 2021 trebuie considerate compromise. Actualizarea firmware-ului nu ajută — fraza deja generată nu va mai fi niciodată sigură, trebuie să creezi o frază nouă și să-ți muți activele. A doua bombă: Ledger, dispozitivul cumpărat de la distribuitor poate fi manipulat. Pe 9 octombrie, utilizatorii Ledger au suferit un furt masiv, pierzând peste 86 de milioane de dolari, afectând sute de portofele pe mai multe blockchain-uri precum Ethereum, TRON, Bitcoin. Victimele aveau un punct comun: au cumpărat dispozitivele prin distribuitorul CryptoBilis din Asia de Sud-Est. Fostul CEO Mt. Gox, Mark Karpelès, a deschis un Ledger din Malaezia și a descoperit o placă suplimentară cu modul LTE și eSIM. Această placă poate citi semnalele trimise către ecran, intercepta fraza mnemonică în timpul inițializării și o poate transmite prin rețeaua mobilă. Credeai că este un „distribuitor autorizat oficial”, dar dispozitivul a fost deschis, modificat și manipulat încă din fabrică. Semnalul mai dureros este că întregul fundament de securitate al infrastructurii DeFi este sub asediu. Balancer a fost furat de 128 milioane de dolari, Kelp DAO a pierdut 292 milioane de dolari, Stream Finance a suferit de-ancorarea dolarului sintetic xUSD, iar valoarea totală blocată în Aave a scăzut de la 26 miliarde la 14,2 miliarde în 5 zile. De la protocoale de împrumut la dolari sintetici, de la exchange-uri la portofele hardware personale — fiecare punct pe care îl considerai „sigur” a avut probleme în acest an. Ce trebuie să faci? Trei lucruri, fă-le azi. Primul, cumpără portofele hardware doar prin canale oficiale. Nu căuta chilipiruri la distribuitori, nu cumpăra de la terți. Incidentul Ledger ți-a arătat că atacurile asupra lanțului de aprovizionare se ascund în spatele cuvintelor „distribuitor autorizat”. Al doilea, utilizatorii Coldcard trebuie să verifice imediat. Dacă ai generat o frază mnemonică pe Coldcard după martie 2021, creează azi un portofel nou și mută-ți activele. Fraza veche nu mai este niciodată sigură. Al treilea, folosește multisig pentru activele mari. Portofelele cu semnătură unică sunt ținta principală a atacurilor Coldcard. Folosește o multisemnătură 2 din 3 cu Trezor Safe 7, Ledger Nano și Casa recovery keys, astfel încât dacă un dispozitiv cedează, activele tale rămân în siguranță. Nu pune toate ouăle într-un singur coș — și cu atât mai puțin să dai cheia privată unui singur dispozitiv. 1011 ne-a învățat că levierul poate ucide. Acest an ne-a învățat că nici portofelul rece nu te mai poate proteja. În această piață, singurul dușman al siguranței este norocul tău. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入