Criza Coldcard: Defecțiunea de firmware care a dus la pierderi de 130 milioane dolari în Bitcoin
Categorii: blockchain · Dificultate: intermediar
Attila Kiraly — Strateg AI & Educator · · 3 min citire
Publicat original: 4 august 2026
O vulnerabilitate critică în firmware-ul portofelelor hardware Coldcard a permis compromiterea procesului de generare a numerelor aleatorii, ducând la pierderea a peste 130 de milioane de dolari. Investigația arată că dispozitivele au folosit surse de entropie previzibile, subminând securitatea auto-custodiei.
Ce s-a întâmplat
Echipa de securitate și inginerie Bitcoin de la Block (compania condusă de Jack Dorsey), împreună cu dezvoltatori independenți Bitcoin Core, au identificat o defecțiune critică în firmware-ul portofelelor hardware Coinkite Coldcard. Această eroare a facilitat furtul a aproximativ 130 de milioane de dolari în Bitcoin de la utilizatori care credeau că fondurile lor sunt în siguranță deplină. Problema a apărut deoarece dispozitivul a încetat să mai folosească sursa hardware de generare a numerelor aleatorii (TRNG) a cipului STM32, trecând la un generator software mult mai previzibil din MicroPython, fără ca utilizatorul să fie notificat.
Context tehnologic
Securitatea unui portofel hardware se bazează pe capacitatea sa de a genera o „sămânță” (seed phrase complet aleatorie. Acest proces folosește entropia — o măsură a dezordinii sau imprevizibilității. În mod normal, Coldcard utilizează un generator hardware specializat. Totuși, din cauza bug-ului de firmware, dispozitivul a generat chei private bazate pe date previzibile. În lumea criptografiei, dacă procesul de generare nu este cu adevărat aleatoriu, un atacator poate recrea cheile private și poate prelua controlul asupra fondurilor fără a avea acces fizic la dispozitiv.
De ce contează
Acest incident lovește direct în mantra comunității Bitcoin: „Not your keys, not your coins”. Deși utilizatorii aveau posesia fizică a cheilor, procesul de creare a acestora a fost viciat de la început. Demonstrează că încrederea oarbă într-un singur dispozitiv hardware („Single Point of Failure”) este periculoasă. Chiar și cele mai respectate soluții de auto-custodie pot avea defecte de fabricație sau de software care anulează orice alte măsuri de securitate luate de utilizator.
Impact
Pe termen scurt, încrederea în brandul Coinkite a fost sever zdruncinată, iar piața portofelelor hardware va trece printr-o perioadă de auditare intensă. Pe termen mediu, acest eveniment va accelera adoptarea soluțiilor de tip Multi-Signature (Multi-sig), unde fondurile sunt protejate de chei generate pe dispozitive diferite de la producători diferiți, eliminând riscul ca un singur bug de firmware să ducă la pierderea totală a activelor.
Ce urmează
Ne așteptăm la o presiune crescută pentru standarde de transparență „Open Source” totală în hardware-ul crypto. De asemenea, dezvoltatorii vor promova tot mai mult utilizarea surselor externe de entropie (cum ar fi aruncarea cu zaruri fizice pentru a genera seed-ul), oferind utilizatorului control total asupra procesului de generare a cheilor, fără a se baza exclusiv pe electronica dispozitivului.
Termeni explicați din articol
Entropie: Gradul de aleatoriu utilizat în crearea cheilor criptografice. Fără entropie ridicată, cheile sunt ușor de ghicit de computere performante.
Firmware: Software-ul de nivel scăzut care controlează direct componentele hardware ale portofelului.
TRNG (True Random Number Generator): O componentă hardware care generează numere aleatorii din procese fizice imprevizibile.
Seed Phrase: O serie de 12 sau 24 de cuvinte care reprezintă forma lizibilă a cheii master a unui portofel.
Ce a cauzat exact pierderea celor 130 de milioane de dolari?
O eroare în firmware-ul portofelelor Coldcard a făcut ca dispozitivele să genereze chei private folosind un algoritm previzibil în loc de unul cu adevărat aleatoriu, permițând atacatorilor să fure fondurile.
Sunt toate portofelele Coldcard afectate?
Problema a fost identificată într-o anumită versiune de firmware. Utilizatorii sunt sfătuiți să verifice comunicările oficiale ale Coinkite și să își actualizeze dispozitivele sau să migreze fondurile pe adrese noi generate cu entropie sigură.
Ce înseamnă că 'entropia a fost compromisă'?
Înseamnă că numerele folosite pentru a crea cheia ta privată nu au fost suficient de aleatorii. Este ca și cum ai folosi un zar care dă mereu cifra 6; un hoț poate ghici mult mai ușor combinația ta.
Cum mă pot proteja de astfel de erori de firmware?
Cea mai bună metodă este utilizarea unui setup Multi-Signature (Multi-sig) cu dispozitive de la producători diferiți și folosirea zarurilor fizice pentru a genera manual entropia cheii tale.
Mai este sigură auto-custodia Bitcoin?
Da, dar acest incident arată că auto-custodia necesită o abordare mai complexă decât simpla folosire a unui singur dispozitiv hardware. Diversificarea metodelor de semnare este acum recomandată pentru sume mari.
Termeni din Glosar
Bitcoin — Bitcoin (BTC) este prima și cea mai cunoscută criptomonedă, creată în 2009 de o entitate anonimă numită Satoshi Nakamoto. Funcționează pe o rețea descentralizată peer-to-peer.
Bloc — O unitate de date ce conține un set de tranzacții validate, un timestamp și hash-ul blocului anterior.
Seed Phrase — Secvența de 12-24 cuvinte care permite recuperarea unui portofel crypto.
SOL — SOL este token-ul nativ al rețelei blockchain Solana, utilizat pentru taxe de tranzacție, staking și guvernanță.
Continuă să înveți
Descoperă mai multe despre tehnologie, automatizare și Web3 în EduWeb Academy.
