کوین‌کایت به دارندگان کولدکارد Mk3 پس از گزارش‌هایی از از دست رفتن ۳۸ میلیون دلار بیت‌کوین هشدار می‌دهد

رخدادهای مربوط به کیف پول‌های سخت‌افزاری به‌ندرت به‌صورت رویدادهای جداافتاده رخ می‌دهند. وقتی آدرس‌هایی که مدت‌ها غیرفعال بوده‌اند در الگویی به‌شدت هماهنگ شروع به جابه‌جایی می‌کنند، همین زمان‌بندی به‌تنهایی نیازمند بررسی دقیق است. این موضوع در ۳۰ ژوئیه ۲۰۲۶ رخ داد؛ زمانی که ادعای انتقال ۵۹۴ بیت‌کوین، به ارزش حدود ۳۸ میلیون دلار از حدود ۵۰۰ آدرس تک‌امضایی ظرف تقریباً ۲۵ دقیقه مطرح شد.

بسیاری از این کیف پول‌ها سال‌ها غیرفعال مانده بودند و موجودی آن‌ها معمولاً بین ۰.۱۵ تا ۰.۲۶ بیت‌کوین بود. تا زمان نگارش این مطلب، با وجود بحث‌های گسترده آنلاین، شرکت تأیید نکرده است که آیا انتقال نزدیک به ۶۰۰ بیت‌کوین به‌طور مستقیم با اطلاعیه امنیتی کلدکارد ارتباط دارد یا خیر.

کوین‌کایت چه می‌گوید

رودولفو نواک، مدیرعامل کوین‌کایت که در صنعت با نام NVK شناخته می‌شود، گفت شرکت با فوریت به این گزارش‌ها رسیدگی می‌کند. او گفت: «همه‌مان در حالت آماده‌باش هستیم و روی همه چیز یک بررسی عمیق انجام می‌دهیم؛ به‌زودی پست فنی منتشر می‌شود»، نواک در X گفت. او افزود که کانال‌های ارتباطی شرکت پس از انتشار گزارش‌ها با پرسش‌ها «بمباران» شده بود. در به‌روزرسانی جداگانه‌ای، نواک تأکید کرد: «در مورد گزارش‌های COLDCARD تحقیقات زیادی انجام داده‌ایم؛ پست وبلاگ در راه است.»

پست وبلاگ اطلاعیه امنیتی این شرکت، بازه مشخصی از دستگاه‌های تحت تأثیر را نام می‌برد. هر کسی که روی یک Mk3 با فریم‌ور نسخه ۴.۰.۱ (منتشرشده در مارس ۲۰۲۱) تا نسخه ۵.۰.۳ (آخرین نسخه‌ای که از Mk3 پشتیبانی می‌کند) سید تولید کرده باشد، ممکن است تحت تأثیر باشد. کوین‌کایت توضیح داد که تحلیل اولیه‌اش نشان می‌دهد مدل‌های Mk4، Q و Mk5 تحت تأثیر نیستند.

کوین‌کایت این اطلاعیه را بازتاب یافته‌های اولیه توصیف کرد و گفت با ادامه تحقیقات، یک بررسی فنی رسمی نیز انجام خواهد شد. پژوهشگران جامعه در حال بررسی فعالیت‌های آنچین مرتبط با این گزارش‌ها بوده‌اند. بحث‌ها عمدتاً حول احتمال ضعف در تصادفی‌بودن (randomness) هنگام تولید سید در برخی نسخه‌های قدیمی‌تر فریم‌ور Mk2 و Mk3 بوده است، نه یک مصالحه در زنجیره تأمین. تا زمان انتشار، کوین‌کایت علت ریشه‌ای را تأیید نکرده است.

کاربران پس‌عبارت با ریسک کمتر روبه‌رو هستند

طبق اطلاعیه، کیف پول‌هایی که با پس‌عبارت BIP-39 محافظت می‌شوند—عبارتی که کاربر اضافه می‌کند و جدا از پین دستگاه است—بر اساس تحلیل اولیه کوین‌کایت ظاهراً ریسک حداقلی دارند. شرکت به کاربران پس‌عبارت توصیه کرد همچنان از آن عبارت محافظت کنند و از وارد کردن آن روی دستگاه‌ها یا وب‌سایت‌های غیرقابل اعتماد خودداری کنند.

برای مالکان Mk3 که از پس‌عبارت استفاده نکرده‌اند، کوین‌کایت مهاجرت به یک سید جدید که روی یک دستگاهِ غیرمتأثر تولید شده باشد را توصیه کرد. شرکت گفت این فرایند نباید با عجله انجام شود. توصیه کرد ابتدا یک تراکنش آزمایشی کوچک ارسال کنید، سپس کیف پول جدید و آدرس دریافت را روی صفحه خود دستگاه تأیید کنید و تا زمانی که مهاجرت تأیید نشده، نسخه پشتیبان قدیمی را نگه دارید.

گزینه‌های موقت

کوین‌کایت دو اقدام موقت را برای مالکانی که Mk3 تنها دستگاهشان است، تشریح کرد:

• یک پس‌عبارت BIP-39 قوی و منحصربه‌فرد اضافه کنید و دارایی‌ها را به کیف پول تازه‌محافظت‌شده منتقل کنید.
• با استفاده از مسیر واردکردن مبتنی بر تاس‌ریزی (dice-roll) در Mk3 یک سید جایگزین تولید کنید؛ این روش به مولد اعداد تصادفی دستگاه متکی نیست، هرچند کوین‌کایت آن را روالی پیشرفته توصیف کرد که نیازمند راستی‌آزمایی دقیق است.

کوین‌کایت مراحل فنی کامل را در اطلاعیه خود که در وبلاگ شرکت در دسترس است منتشر کرد. شرکت توضیح داد تحقیقاتش ادامه دارد و جزئیات بیشتری در ادامه ارائه خواهد شد. کلدکارد از زمان عرضه خود به‌عنوان یک گزینه کیف پول سخت‌افزاری ایزوله از شبکه (air-gapped) و متمرکز بر امنیت، شهرت ساخته است و این گزارش‌ها توجه گسترده‌ای را در سراسر جامعه بیت‌کوین برانگیخته؛ در حالی که مالکان در حال ارزیابی دستگاه‌های خود هستند.