Společnost Coinkite varuje majitele zařízení Coldcard Mk3 po zprávách o ztrátě bitcoinů v hodnotě 38 milionů dolarů

Incidenty týkající se hardwarových peněženek se málokdy odehrávají jako izolované události. Když se dlouho neaktivní adresy začnou pohybovat podle pečlivě koordinovaného vzorce, už samotné načasování si zaslouží pozornost. To byl případ 30. července 2026, kdy se údajných 594 BTC v hodnotě přibližně 38 milionů dolarů přesunulo z asi 500 adres s jedním podpisem během zhruba 25 minut.

Mnohé z těchto peněženek zůstávaly neaktivní po celá léta, přičemž jejich zůstatky se obvykle pohybovaly v rozmezí 0,15 až 0,26 BTC. V době psaní tohoto článku společnost navzdory rozsáhlým diskusím na internetu dosud nepotvrdila, zda je převod téměř 600 BTC přímo spojen s bezpečnostním upozorněním týkající se Coldcard.

Co říká Coinkite

Generální ředitel společnosti Coinkite Rodolfo Novak, v oboru známý jako NVK, uvedl, že společnost tyto zprávy řeší s nejvyšší naléhavostí. „Všichni se do toho vrháme a vše důkladně prošetřujeme, technický příspěvek brzy zveřejníme,“ uvedl Novak na X. Dodal, že komunikační kanály společnosti byly po zveřejnění těchto zpráv „zavaleny“ dotazy. V samostatné aktualizaci Novak zdůraznil: „Provedli jsme rozsáhlé šetření ohledně zpráv o COLDCARD, blogový příspěvek bude brzy zveřejněn.“

Blogový příspěvek s bezpečnostním upozorněním společnosti uvádí konkrétní řadu postižených zařízení. Postiženi mohou být všichni, kdo vygenerovali seed na zařízení Mk3 s firmwarem od verze 4.0.1, vydané v březnu 2021, až po verzi 5.0.3, což je poslední verze podporující Mk3. Společnost Coinkite vysvětlila, že podle její předběžné analýzy nejsou modely Mk4, Q a Mk5 postiženy.

Společnost Coinkite uvedla, že toto bezpečnostní upozornění odráží předběžné závěry, a dodala, že v průběhu pokračujícího vyšetřování bude následovat formální technický přezkum. Výzkumníci z komunity prověřují aktivitu v blockchainu související s těmito hlášeními. Diskuse se soustředí spíše na možnost nedostatečné náhodnosti při generování seedů u některých starších verzí firmwaru modelů Mk2 a Mk3 než na narušení dodavatelského řetězce. V době zveřejnění tohoto článku společnost Coinkite ještě nepotvrdila příčinu problému.

Uživatelé s heslem čelí nižšímu riziku

Podle varování se zdá, že peněženky chráněné heslem BIP-39 – frází zadanou uživatelem, která se liší od PIN kódu zařízení – představují podle předběžné analýzy společnosti Coinkite minimální riziko. Společnost doporučila uživatelům s heslem, aby tuto frázi i nadále chránili a vyhýbali se jejímu zadávání na nedůvěryhodných zařízeních nebo webových stránkách.

Majitelům zařízení Mk3, kteří heslo nepoužívali, společnost Coinkite doporučila přejít na nový seed vygenerovaný na zařízení, které nebylo zasaženo. Společnost uvedla, že tento proces by neměl být uspěchán. Doporučila nejprve odeslat malou testovací transakci, ověřit novou peněženku a přijímací adresu na obrazovce zařízení a ponechat si starou zálohu, dokud nebude migrace potvrzena.

Prozatímní možnosti

Společnost Coinkite navrhla dva prozatímní kroky pro majitele, pro které je Mk3 jediným zařízením:

• Přidat silnou, jedinečnou přístupovou frázi podle standardu BIP-39 a převést prostředky do nově chráněné peněženky.
• Vygenerujte náhradní seed pomocí importní cesty Mk3 založené na hodu kostkou, která se nespoléhá na generátor náhodných čísel zařízení, ačkoli společnost Coinkite tento postup popsala jako pokročilý a vyžadující pečlivé ověření.

Společnost Coinkite zveřejnila kompletní technický postup ve svém doporučení, které je k dispozici na firemním blogu. Společnost vysvětlila, že vyšetřování stále probíhá a že budou následovat další podrobnosti. Coldcard si od svého uvedení na trh vybudovala reputaci jako hardwarová peněženka zaměřená na bezpečnost s izolovaným provozem (air-gapped) a tyto zprávy vzbudily širokou pozornost v celé bitcoinové komunitě, protože majitelé nyní prověřují svá vlastní zařízení.