Wpis na platformie X przypisał zgłaszaną kradzież 1 816 BTC — wycenionych w tym wpisie na 116 000 000 USD — błędowi w portfelach sprzętowych Coldcard. Wpis wskazał podatność portfela sprzętowego jako przyczynę straty, ale nie przedstawił dodatkowych szczegółów technicznych dotyczących samego błędu, okoliczności zdarzenia ani tożsamości poszkodowanych użytkowników.

Zgłaszany incydent bezpieczeństwa związany z Coldcard

Coldcard to portfel sprzętowy zaprojektowany do przechowywania Bitcoina w trybie offline oraz podpisywania transakcji bez połączenia z internetem. Takie urządzenia są zazwyczaj wykorzystywane do izolowania kluczy prywatnych od komputerów podłączonych do sieci, co zmniejsza ekspozycję na niektóre formy ataków internetowych. Serię portfeli produkuje firma Coinkite; obsługują one w pełni odizolowane od sieci (air-gapped) przepływy pracy, w których transakcje są przenoszone na urządzenie i z urządzenia za pomocą karty microSD, a nie poprzez bezpośrednie połączenie z komputerem.

Zgodnie z informacjami udostępnionymi na platformie X, błąd dotyczący portfeli sprzętowych Coldcard został powiązany z kradzieżą 1 816 BTC, których wartość oszacowano w wpisie na 116 000 000 USD.

Nie podano dalszych informacji o tym, kiedy doszło do rzekomej kradzieży, w jaki sposób wykorzystano podatność ani czy dotyczyła ona konkretnego modelu lub wersji Coldcard. Wpis nie zawierał również informacji, czy zgłaszaną podatność zidentyfikowano, ujawniono lub zaadresowano po stronie producenta.

Portfele sprzętowe różnych producentów były przez lata przedmiotem niezależnych badań bezpieczeństwa — publiczne ujawnienia dotyczyły słabości oprogramowania układowego, ryzyk w łańcuchu dostaw oraz ataków fizycznych lub typu side-channel, a producenci zazwyczaj reagowali aktualizacjami firmware'u lub zmodyfikowanymi projektami sprzętowymi. W tym przypadku brak szczegółów technicznych oznacza, że na podstawie dostarczonych informacji nie można ustalić dokładnego mechanizmu stojącego za zgłaszaną stratą, a dostępne doniesienie ogranicza się do wskazanego związku między błędem Coldcard a utratą podanej liczby Bitcoinów.

Samodzielne przechowywanie przenosi odpowiedzialność za bezpieczeństwo na posiadacza aktywów

Samodzielne przechowywanie kryptowalut pozwala użytkownikom bezpośrednio zarządzać swoimi aktywami cyfrowymi, zamiast polegać na scentralizowanej giełdzie lub innym powierniku zewnętrznym. Taka struktura może dawać większą kontrolę nad kluczami prywatnymi, ale jednocześnie przenosi odpowiedzialność za bezpieczeństwo na posiadacza aktywów.

Portfele sprzętowe są zaprojektowane tak, aby ograniczać część zagrożeń związanych z przechowywaniem kluczy prywatnych na komputerach i smartfonach podłączonych do internetu. Transakcje są zazwyczaj podpisywane na urządzeniu sprzętowym, podczas gdy wrażliwe dane kluczowe pozostają odizolowane od podłączonego komputera.

Przechowywanie oparte na sprzęcie nie eliminuje jednak wszystkich zagrożeń bezpieczeństwa. Podatności mogą potencjalnie wynikać z oprogramowania urządzenia, firmware'u, dostępu fizycznego, procesów podpisywania transakcji lub interakcji z innymi systemami, a konkretne ryzyko zależy od charakteru danej podatności.

Zgłaszany incydent związany z Coldcard podkreśla znaczenie zrozumienia, w jaki sposób systemy przechowywania chronią klucze prywatne oraz jak słabości bezpieczeństwa mogą wpływać na aktywa cyfrowe, gdy użytkownicy utrzymują bezpośrednią kontrolę nad swoimi środkami.

Kradzież Bitcoina pokazuje skalę potencjalnych strat

Zgłaszana utrata 1 816 BTC ilustruje finansowe konsekwencje, jakie może nieść niepowodzenie w zakresie bezpieczeństwa dotyczące dużego salda kryptowalut. Według wyceny przywołanej we wpisie na X skradziony Bitcoin był wart 116 000 000 USD. Publicznie raportowane kradzieże tej skali przypisywane błędowi osobistego portfela sprzętowego są rzadsze niż włamania do scentralizowanych platform: największe udokumentowane kradzieże kryptowalut dotyczyły zazwyczaj giełd i powierników, w szczególności włamania do giełdy Bybit w lutym 2025 r., podczas którego skradziono około 1,5 miliarda dolarów w etherze i które FBI przypisało północnokoreańskiej grupie Lazarus.

Transakcje Bitcoin są zasadniczo zaprojektowane tak, aby po potwierdzeniu w sieci były nieodwracalne. Odzyskanie aktywów po nieautoryzowanym transferze może więc być trudne, zwłaszcza gdy tożsamość lub lokalizacja odbiorcy są nieznane.

Raport nie wskazywał, czy jakakolwiek część z 1 816 BTC została odzyskana oraz czy władze lub inne podmioty prowadzą dochodzenie w sprawie rzekomej kradzieży; nie zawierał też informacji o liczbie poszkodowanych użytkowników.

Dla posiadaczy Bitcoina korzystających z rozwiązań samodzielnego przechowywania incydent stanowi przypomnienie, że zabezpieczanie kluczy prywatnych wiąże się z ryzykami wykraczającymi poza samo utrzymywanie urządzenia w trybie offline. Ustalenie szerszych konsekwencji dla użytkowników Coldcard wymagałoby szczegółów technicznych zgłaszanej podatności — jej przyczyny i zakresu — które nie zostały ujawnione. Kluczowe otwarte pytania obejmują: czy Coinkite potwierdza lub kwestionuje doniesienie, czy pojawi się poprawka w oprogramowaniu układowym lub sprzęcie oraz czy analiza łańcucha albo działania organów ścigania publicznie potwierdzą stratę.

Źródło: Hokanews