MARA åbner Slipstream for offentligheden, mens Coldcard-ofrene kæmper for at undslippe

MARA fjerner adgangskoderne

MARA Holdings, den Nasdaq-noterede bitcoin-miner og udbyder af infrastruktur til kunstig intelligens (AI), tidligere kendt som Marathon Digital, udviklede Slipstream-tjenesten, så brugere kan sende bitcoin-transaktioner direkte til virksomhedens mining-pool i stedet for at udsende dem til det offentlige netværk.

De fleste bitcoin-transaktioner passerer gennem et fælles venterum kaldet mempoolen, hvor hver node på netværket kan se en transaktion, før den bekræftes i en blok. Slipstream springer dette venterum over. En bruger indsender en signeret transaktion direkte til MARA, og den forbliver skjult, indtil MARA miner en blok med den inde.

Den 3. august 2026 offentliggjorde MARA Foundation opdateringen på X:

»MARA Slipstream er nu tilgængeligt som et tilladelsesfrit offentligt gode uden krav om klientkode. Vær forsigtig og tilbageholdende med gebyrer for at undgå, at transaktioner sidder fast i Slipstream-mempoolen, hvis konkurrerende satser stiger kraftigt. I den nærmeste fremtid opkræver vi ikke yderligere gebyrer for denne tjeneste, men brugerne er selv ansvarlige for at betale passende Bitcoin-transaktionsgebyrer."

Det sidste punkt er vigtigt. MARA pålægger ikke sit eget tillæg. Brugerne betaler stadig de normale Bitcoin-netværksgebyrer; de sender blot transaktionen gennem en privat kanal i stedet for den åbne.

En fejl i en hardware-tegnebog tvinger timingen

Tidspunktet er ikke en tilfældighed. I slutningen af juli afslørede forskere en alvorlig fejl i Coldcard-hardware-wallets, der kunne spores tilbage til en kodningsfejl i firmwaren fra marts 2021. I stedet for at hente tilfældighed fra enhedens dedikerede hardwaregenerator faldt de berørte Coldcard-modeller tilbage på en svagere softwareproces, når de oprettede en tegnebogs 24-ords seed-sætning. Den fejl reducerede den effektive tilfældighed fra forventede 128 bit ned til ca. 40 bit på ældre modeller og 72 bit på nyere modeller. Færre mulige kombinationer betyder, at en hacker med tilstrækkelig regnekraft kan gætte seed-sætningen og låse tegnebogen op.

Hackere kæmper om at tømme svage tegnebøger

Angriberne handlede hurtigt. De første opgørelser viste, at der var blevet tømt omkring 594 BTC – svarende til tæt på 38 millioner dollars på det tidspunkt – fra cirka 500 adresser. Senere skøn satte det samlede beløb tættere på 70 til 88 millioner dollars, efterhånden som flere kompromitterede tegnebøger kom for dagen. Pr. 4. august anslås det, at hackerne har stjålet omkring 1.816 BTC, til en værdi af ca. 116 millioner dollar, fra mere end 5.200 forskellige tegnebøger.

En firmwareopdatering forhindrer nye tegnebøger i at arve fejlen, men den hjælper ikke på de seed-fraser, der allerede er genereret under den fejlbehæftede kode. Alle, der har oprettet et Coldcard i de berørte år, er nødt til at flytte deres coins til en ny tegnebog.

Offentlig overførsel af midler skaber sin egen fælde

For personer, der bruger opsætninger med flere signaturer – hvilket er almindeligt blandt Coldcard-brugere, der fordeler kontrollen med midlerne på flere enheder – indebærer selve overførslen en risiko. Offentliggørelse af en transaktion afslører tegnebogens nøgler og betingelserne for at bruge midlerne. En angriber, der allerede er i besiddelse af en matchende svag privat nøgle, kan opdage den pågældende transaktion, oprette en konkurrerende transaktion med et højere gebyr og bruge en Bitcoin-netværksfunktion kaldet Replace-by-Fee (RBF) til at springe foran i køen og stjæle midlerne, inden den oprindelige transaktion bekræftes.

MARAs Slipstream fjerner dette sikkerhedshul. Da transaktionen aldrig kommer i kontakt med den offentlige mempool, ser en angriber aldrig nøglerne eller udbetalingsoplysningerne, før MARA allerede har minet mønterne ind i en bekræftet blok.

Slipstream kom to år før krisen

MARA lancerede Slipstream første gang den 22. februar 2024 med det formål at hjælpe store eller usædvanlige transaktioner, som mange Bitcoin-noder nægter at videresende i henhold til standardpolitikken. CEO Fred Thiel beskrev det dengang som en måde at sætte MARAs minedriftinfrastruktur i arbejde for avancerede Bitcoin-brugere, samtidig med at man overholdt protokollens regler. Tidligere krævede adgangen en klientkode i perioder med stor efterspørgsel eller vedligeholdelse. Dette krav er nu ophævet.

Brugerne bærer stadig risikoen for tillid og timing

Slipstream er stadig afhængig af, at MARA finder blokke. En transaktion ligger i MARAs private kø, indtil poolen miner en, så timingen afhænger udelukkende af MARAs andel af Bitcoins samlede hashrate.

På tidspunktet for offentliggørelsen har MARA's pool over 5 % af den samlede hashrate, der driver Bitcoin. MARA opfordrer brugerne til at holde gebyrerne konkurrencedygtige, men ikke urimeligt høje, da en transaktion, der sidder fast i den private kø under en gebyrstigning, kan ligge der et stykke tid, før den bekræftes.

Hvad venter der nu for Coldcard-indehavere

Det bredere Bitcoin-fællesskab betragter Slipstreams offentlige genlancering som et praktisk værktøj i en sikkerhedskrise, ikke som en permanent ændring af, hvordan de fleste transaktioner bør foregå. Til daglige overførsler forbliver den offentlige mempool den standardvej. Men for Coldcard-brugere, der stadig opbevarer coins på kompromitterede seeds, har sikkerhedsforskere og wallet-udviklere peget på Slipstream som en af de mere pålidelige måder at overføre midler på uden først at afsløre sig over for angribere.

Hold øje med opdaterede skøn over tab, efterhånden som flere kompromitterede adresser dukker op, yderligere vejledning fra Coldcard om, hvilke firmwareversioner og serienummerintervaller der er berørt, og om andre minere følger MARA's eksempel og tilbyder en lignende privat indsendelsesvej.