ZachXBT Enggan Mengesan Penggodaman Coldcard Bernilai $88Juta

ZachXBT Berkata Beliau Mempunyai “Kurang Kewajipan” untuk Membantu

Penyiasat onchain yang prolifik, terkenal kerana membongkar penggodam di sebalik beberapa kecurian terbesar dalam kripto, menyiarkan di X bahawa beliau tidak mempunyai sebarang rancangan semasa untuk memantau atau menjejak insiden Coldcard. Beliau berkata masanya tertumpu pada ekosistem yang menghargai kerjanya, sambil menambah bahawa para maxi Bitcoin bukan penderma atau penyokong siasatannya, jadi beliau mempunyai kurang kewajipan untuk membantu.

Kenyataan itu timbul ketika pelanggaran Coldcard memasuki hari kelimanya dan jumlah terkumpulnya terus meningkat. ZachXBT sebelum ini telah bekerja secara pro bono untuk kes-kes besar, dan hantaran beliau mencadangkan terdapat jurang besar antara niat baik yang ditunjukkan komuniti Bitcoin kepadanya dan usaha yang diminta daripadanya apabila sesuatu berlaku.

Pelanggaran Coldcard Setakat Ini

Eksploit itu berpunca daripada kelemahan perisian tegar pada dompet perkakasan yang dibuat oleh pengeluar Kanada, Coinkite. Pepijat itu menjejaskan peranti Coldcard Mk3 yang menjalankan versi 4.0.1 hingga 4.1.9, menyebabkan sesetengah dompet menjana entropi seed melalui penjana nombor rawak perisian dan bukannya cip khusus perkakasan, satu kecacatan yang menjadikan seed tertentu boleh diteka.

Gelombang pertama melanda pada 30 Julai apabila kira-kira 594 BTC, bernilai sekitar $38 juta pada ketika itu, dikeluarkan daripada hampir 500 alamat tidak aktif dalam masa kurang 30 minit. Coinkite mengeluarkan perisian tegar yang ditampal dalam tempoh dua hari, namun kerosakan terus merebak dan menjelang 2 Ogos, Galaxy Research telah menjejak jumlah terkumpul kepada 1,367 BTC, bernilai $88.6 juta, yang dikeluarkan daripada 4,585 alamat merentasi tiga gelombang serangan berasingan.

Kelajuan dan ketepatan kecurian itu mencetuskan spekulasi bahawa alat automasi, mungkin dibantu AI, membantu penyerang mengenal pasti dan mengosongkan alamat yang terdedah dalam beberapa minit bagi setiap gelombang. Kecurian terus meningkat walaupun deposit ke bursa daripada dana yang dicuri melonjak dan BTC yang lebih lama, sebelum ini tidak aktif dan dikaitkan dengan kes itu, mula bergerak semula.

Pengekalan Data Menambah Lagi Kecaman

Pengendalian selepas kejadian oleh Coinkite telah menjadi kontroversi tersendiri memandangkan syarikat itu menghantar e-mel kepada setiap alamat pelanggan yang dapat dicapai daripada rekod kedai dan surat beritanya, sebahagiannya bertarikh sejak 2019, untuk memberi amaran tentang pepijat tersebut.

Itu bercanggah dengan dakwaan terdahulu oleh CEO Rodolfo Novak bahawa Coinkite memadam data pelanggan 90 hari selepas pembelian dan menawarkan pilihan pembelian tanpa nama. Coinkite kemudiannya mengakui ia mengekalkan alamat e-mel pembelian tanpa had dan mengakui ia tidak mempunyai dasar pemadaman untuk data tersebut, satu pendedahan yang mencetuskan gelombang kritikan tersendiri yang berasingan daripada penggodaman itu sendiri.

Novak telah mempertahankan rekod keselamatan keseluruhan syarikat, dengan menyatakan bahawa pesaing berdepan pelanggaran secara berkala dan bahawa Coinkite memandang serius perkara itu. Namun begitu, episod ini sudah mula menghakis keyakinan terhadap penjagaan sendiri (self-custody) dan boleh mendorong pelabur yang lebih berhati-hati kembali kepada dana dagangan bursa (ETF) berbanding mengurus kunci mereka sendiri.

Kisah ini juga melimpah menjadi drama onchain melangkaui kecurian itu sendiri. Satu tawaran pengubahan wang bitcoin yang berani ditujukan kepada penggodam telah disiarkan terus ke rantaian blok Bitcoin, menjadikan kes itu tontonan umum yang berlangsung secara masa nyata di seluruh media sosial dan data onchain.

Dengan tokoh besar seperti ZachXBT menarik diri, beban menjejak 1,367 BTC yang dicuri kini lebih banyak dipikul oleh firma seperti Galaxy Research, yang telah menerbitkan kemas kini gelombang demi gelombang apabila aktiviti dompet penyerang berubah. Laporan telah muncul bahawa pepijat entropi yang menjejaskan peranti Coldcard Mk3 bertarikh sejak binaan perisian tegar Mac 2021, bermakna mana-mana seed dompet yang dijana pada versi itu sepanjang lebih empat tahun masih boleh terdedah sehingga pemilik beralih kepada seed baharu pada perisian tegar yang ditampal.