MARA åpner Slipstream for publikum mens Coldcard-ofre skynder seg å komme seg unna

MARA fjerner tilgangskodene

MARA Holdings, den Nasdaq-noterte bitcoin-gruveaktøren og leverandøren av infrastruktur for kunstig intelligens (AI), tidligere kjent som Marathon Digital, bygde Slipstream-tjenesten slik at folk kan sende bitcoin-transaksjoner direkte til gruvepoolen deres i stedet for å kringkaste dem til det offentlige nettverket.

De fleste bitcoin-transaksjoner går gjennom et delt venterom kalt mempoolen, der hver node i nettverket kan se en transaksjon før den blir bekreftet inn i en blokk. Slipstream hopper over det venterommet. En bruker sender inn en signert transaksjon direkte til MARA, og den forblir skjult til MARA utvinner en blokk med den inni.

Den 3. august 2026 publiserte MARA Foundation oppdateringen på X:

“MARA Slipstream er nå tilgjengelig som et tillatelsesfritt offentlig gode uten krav om klientkode. Vær forsiktig og konservativ med gebyrer for å unngå at transaksjoner blir sittende fast i Slipstream-mempoolen dersom konkurransedyktige satser skyter i været. I overskuelig fremtid tar vi ikke ekstra gebyrer for denne tjenesten, men brukerne er ansvarlige for å betale passende Bitcoin-transaksjonsgebyrer.”

Det siste punktet er viktig. MARA legger ikke på et eget påslag. Brukere betaler fortsatt vanlige Bitcoin-nettverksgebyrer; de sender bare transaksjonen gjennom en privat kanal i stedet for den åpne.

En feil i en maskinvarelommebok tvinger fram tidspunktet

Tidspunktet er ikke et sammentreff. I slutten av juli offentliggjorde forskere en alvorlig svakhet i Coldcard-maskinvarelommebøker, som spores tilbake til en fastvarekodefeil fra mars 2021. I stedet for å hente tilfeldighet fra enhetens dedikerte maskinvaregenerator, falt berørte Coldcard-modeller tilbake på en svakere programvareprosess da de opprettet en lommeboks 24-ords seedfrase. Den feilen reduserte den effektive tilfeldigheten fra forventede 128 biter ned til omtrent 40 biter på eldre modeller og 72 biter på nyere. Færre mulige kombinasjoner betyr at en angriper med nok datakraft kan gjette seedet og låse opp lommeboken.

Hackere kappes om å tømme svake lommebøker

Angriperne handlet raskt. Tidlige opptellinger anslo rundt 594 BTC, nær 38 millioner dollar på det tidspunktet, tappet fra omtrent 500 adresser. Senere estimater satte totalen nærmere 70 til 88 millioner dollar etter hvert som flere kompromitterte lommebøker kom for dagen. Per 4. august anslås det at hackerne har stjålet anslagsvis 1 816 BTC, verdt rundt 116 millioner dollar, fra mer enn 5 200 ulike lommebøker.

En fastvareoppdatering hindrer nye lommebøker i å arve feilen, men den gjør ingenting for seedfraser som allerede er generert under den defekte koden. Alle som satte opp en Coldcard i de berørte årene må flytte myntene sine til en ny lommebok.

Å flytte midler offentlig skaper sin egen felle

For personer som bruker multisignatur-oppsett, vanlig blant Coldcard-brukere som deler kontroll over midler på flere enheter, innebærer selve migreringen risiko. Å kringkaste en transaksjon offentlig avslører lommeboknøkler og forbruksvilkår. En angriper som allerede har en tilsvarende svak privatnøkkel kan oppdage transaksjonen, lage en konkurrerende med høyere gebyr og bruke en Bitcoin-nettverksfunksjon kalt Replace-by-Fee (RBF) for å hoppe i køen og stjele midlene før den opprinnelige transaksjonen blir bekreftet.

MARA sin Slipstream fjerner dette eksponeringsvinduet. Fordi transaksjonen aldri berører den offentlige mempoolen, ser en angriper aldri nøklene eller forbruksdetaljene før MARA allerede har utvunnet myntene inn i en bekreftet blokk.

Slipstream kom to år før krisen

MARA lanserte først Slipstream 22. februar 2024, med mål om å hjelpe store eller uvanlige transaksjoner som mange Bitcoin-noder avviser å videresende under standardpolicy. CEO Fred Thiel beskrev det den gangen som en måte å sette MARAs gruveinfrastruktur i arbeid for avanserte bitcoin-brukere, samtidig som man holder seg innenfor protokollens regler. Tilgang hadde tidligere krevd en klientkode i perioder med høy etterspørsel eller vedlikehold. Det kravet er nå fjernet.

Brukerne bærer fortsatt tillits- og tidsrisikoen

Slipstream avhenger fortsatt av at MARA finner blokker. En transaksjon blir liggende i MARAs private kø til poolen utvinner en, så tidspunktet avhenger helt av MARAs andel av Bitcoins totale hashrate.

På publiseringstidspunktet står MARAs pool for over 5% av den samlede hashkraften som driver Bitcoin. MARA ber brukerne holde gebyrene konkurransedyktige, men ikke overdrevne, siden en transaksjon som blir sittende fast i den private køen under en gebyrspike kan bli liggende en stund før den blir bekreftet.

Hva skjer videre for Coldcard-innehavere

Det bredere bitcoin-miljøet behandler Slipstreams offentlige relansering som et praktisk verktøy for en sikkerhetskrise, ikke et permanent skifte i hvordan de fleste transaksjoner bør flyttes. For dagligdagse overføringer forblir den offentlige mempoolen standardruten. Men for Coldcard-brukere som fortsatt holder mynter på kompromitterte seeder, har sikkerhetsforskere og lommebokutviklere pekt på Slipstream som en av de mer pålitelige måtene å flytte midler på uten å varsle angripere først.

Følg med på oppdaterte tapsestimater etter hvert som flere kompromitterte adresser dukker opp, mer veiledning fra Coldcard om hvilke fastvareversjoner og serienummerintervaller som er berørt, og om andre gruveaktører følger MARA ved å tilby en tilsvarende privat innsendingsti.