Innlegg

Kaldbørser er heller ikke trygge lenger: Coldcard firmware-sårbarhet, Ledger forsyningskjedeangrep – tilhører dine BTC virkelig deg? Du brukte 1000 yuan på en kaldbørs, trodde eiendelene dine var helt sikre. To hendelser i løpet av ett år viser deg – kaldbørser kan også være en tidsinnstilt bombe. Den første bomben: Coldcard, du har aldri rørt enheten, men pengene er borte. I mars 2021 introduserte den kanadiske maskinvarebørsprodusenten Coinkite en dødelig feil i Coldcard-firmware: Enheten brukte ikke den ekte maskinvarebaserte tilfeldige tallgeneratoren ved generering av mnemonic, men en programvarebasert pseudotilfeldig generator. Enkelt sagt – det du trodde var «tilfeldig», var det ikke. Angripere trengte ikke engang å røre enheten din eller ha nettverkstilkobling for å matematisk kunne regne ut mnemonic i stor skala. Det første angrepet skjedde 30. juli 2026. Omtrent 594 BTC forsvant fra 500 adresser på 25 minutter. Dette var bare starten. Deretter kom minst tre angrepsbølger til, og til slutt ble over 1 816 BTC flyttet fra mer enn 5 200 adresser, med et tap på rundt 114 til 116 millioner dollar. En bruker sa at hans Coldcard aldri hadde vært koblet til internett, mnemonic hadde aldri lekket, men eiendelene ble likevel stjålet. Coinkites offisielle svar var bare én setning: Mnemonics generert siden mars 2021 må betraktes som muligens lekket. Oppgradering av firmware hjelper ikke – allerede genererte mnemonics er aldri trygge, du må lage nye mnemonics og flytte eiendelene. Den andre bomben: Ledger, enheten du kjøpte fra en forhandler kan ha blitt tuklet med. 9. oktober opplevde Ledger-brukere et stort tyveri med tap på over 86 millioner dollar, som involverte hundrevis av lommebøker på flere kjeder som Ethereum, TRON, Bitcoin med flere. Ofrene hadde én fellesnevner: De kjøpte enhetene via CryptoBilis, en forhandler i Sørøst-Asia. Tidligere Mt. Gox-CEO Mark Karpelès åpnet en Ledger fra Malaysia og fant et ekstra kretskort med LTE-modul og eSIM inne i enheten. Dette kortet kan lese signaler som sendes til skjermen, fange mnemonic under initialisering og sende det ut via mobilnett. Du trodde det var en «offisiell autorisert forhandler», men enheten ble åpnet, manipulert og tuklet med allerede fra fabrikken. Det mest bekymringsfulle signalet er: Hele sikkerhetsantakelsen for DeFi-infrastrukturen blir gradvis brutt ned. Balancer ble frastjålet 128 millioner dollar, Kelp DAO 292 millioner dollar, Stream Finance sin syntetiske dollar xUSD mistet peg, Aave sin totale låste verdi falt fra 26 milliarder til 14,2 milliarder på 5 dager. Fra utlånsprotokoller til syntetiske dollar, fra børser til personlige kaldbørser – hvert ledd du trodde var «sikkert» har hatt hendelser dette året. Hva bør du gjøre? Tre ting, gjør dem i dag. Først, kjøp maskinvarebørs via offisielle kanaler. Ikke vær fristet til å kjøpe fra forhandlere eller tredjepart. Ledger-hendelsen har vist at forsyningskjedeangrep skjuler seg bak ordene «autoriserte forhandlere». For det andre, Coldcard-brukere må sjekke umiddelbart. Hvis du har generert mnemonics på Coldcard etter mars 2021, lag en ny lommebok og flytt eiendelene i dag. Gamle mnemonics er permanent usikre. For det tredje, bruk multisignatur for store eiendeler. Enkelt-signatur lommebøker er hovedmålet for Coldcard-angrep. Bruk 2-av-3 multisignatur med Trezor Safe 7, Ledger Nano og Casa gjenopprettingsnøkler, så hvis én enhet feiler, er eiendelene dine fortsatt trygge. Ikke legg alle egg i én kurv – og aldri gi en privatnøkkel til én enkelt enhet. 1011 lærte oss at giring kan drepe. Dette året lærer oss – selv kaldbørser kan forråde deg. I dette markedet er den eneste fienden til sikkerhet din egen tilfeldighet. $BTC $ETH $ZEC #Ledger bekrefter at en involvert enhet har hatt maskinvareinnsetting