۵۹۴ بیت‌کوین در ۲۵ دقیقه از کیف‌پول‌های سخت‌افزاری کلدکارت خارج شد؛ ریشه نقص در به‌روزرسانی مارس ۲۰۲۱

حدود ۵۹۴ بیت‌کوین به ارزش نزدیک ۳۸ میلیون دلار بامداد جمعه ۹ مرداد ۱۴۰۵ (۳۱ ژوئیه ۲۰۲۶) میان ساعت ۱:۳۱ تا ۱:۵۶ به وقت گرینویچ، برابر ۵:۰۱ تا ۵:۲۶ به وقت تهران، از حدود ۵۰۰ کیف‌پول جداگانه خارج شد. بر پایه داده‌های زنجیره‌ای، این دارایی در ۵۰۰ تراکنش و ۱٬۳۲۴ بخش و در بازه‌ای به اندازه سه بلاک جابه‌جا شد و سپس ۵۶۲ بیت‌کوین آن در یک نشانی واحد تجمیع شد که تاکنون حرکتی نداشته است. همه کیف‌پول‌های تخلیه‌شده تک‌امضایی بودند و هر یک بیش از ۰٫۱۵ بیت‌کوین نگه می‌داشتند؛ بسیاری سال‌ها راکد مانده بودند و بازه ساخت آنها از ۲۰۲۱ تا ۲۰۲۶ را در بر می‌گرفت.

بر پایه گزارشی که تیم‌های مهندسی و امنیت بیت‌کوین شرکت بلاک منتشر کردند، ریشه ماجرا به میان‌افزار نسخه ۴٫۰٫۰ کلدکارت در مارس ۲۰۲۱ بازمی‌گردد: یک تنظیم ساخت به دستگاه می‌گفت از مولد تصادف سخت‌افزاری خود صرف‌نظر کند و بررسی موجود در یک کتابخانه پشتیبان تنها وجود این تنظیم را می‌سنجید، نه روشن بودن آن. در نتیجه، ساخت کلید بی‌سروصدا به یک جایگزین نرم‌افزاری ساده منتقل می‌شد که با شماره سریال تراشه و مقادیر ثبات‌های ساعت مقداردهی می‌شد؛ هیچ‌یک از این دو محرمانه نیست. بلاک این تغییر را به کامیتی به تاریخ ۱ مارس ۲۰۲۱ ردیابی کرده است.

شرکت کوینکایت، سازنده کانادایی کلدکارت، به کاربرانی که عبارت بازیابی خود را روی دستگاه ام‌کی‌۳ با نسخه ۴٫۰٫۱ یا بالاتر ساخته‌اند هشدار داد و اعلام کرد «بر پایه تحلیل اولیه ما، ام‌کی‌۴، کیو و ام‌کی‌۵ آسیب‌پذیر نیستند». هر دو شرکت تحلیل خود را مقدماتی خوانده‌اند و بلاک گفت پیش از تکمیل آزمون‌ها منتشر کرده چون بهره‌برداری از این نقص همان زمان در جریان بوده است. دامنه موضوع فراتر از عبارت‌های بازیابی است و کلیدهای خصوصی کیف‌پول کاغذی، ماسک‌های تقسیم عبارت، کلیدهای همانندسازی دستگاه و انتقال‌های کی تله‌پورت را نیز در بر می‌گیرد. بهای بیت‌کوین در ساعات نخست معاملات آسیا بالای ۶۴ هزار دلار ماند و این تخلیه گسترده اثر محسوسی بر بازار نگذاشت.