MARA udostępnia Slipstream dla publiczności, podczas gdy ofiary Coldcardu próbują jak najszybciej uciec

MARA znosi wymóg kodów dostępu

MARA Holdings, notowana na giełdzie Nasdaq firma zajmująca się wydobywaniem bitcoinów i dostarczająca infrastrukturę sztucznej inteligencji (AI), znana wcześniej jako Marathon Digital, stworzyła usługę Slipstream, dzięki której użytkownicy mogą wysyłać transakcje bitcoinowe bezpośrednio do jej puli wydobywczej zamiast rozgłaszać je w sieci publicznej.

Większość transakcji bitcoinowych przechodzi przez wspólną „poczekalnię” zwaną mempool, gdzie każdy węzeł w sieci może zobaczyć transakcję, zanim zostanie ona potwierdzona w bloku. Slipstream omija tę „poczekalnię”. Użytkownik przesyła podpisaną transakcję bezpośrednio do MARA, a ta pozostaje ukryta, dopóki MARA nie wydobywa bloku, w którym się znajduje.

3 sierpnia 2026 r. Fundacja MARA opublikowała aktualizację na X:

„MARA Slipstream jest teraz dostępny jako dobro publiczne bez ograniczeń dostępu, nie wymagające kodu klienckiego. Prosimy o ostrożność i zachowanie umiaru przy ustalaniu opłat, aby uniknąć utknięcia transakcji w mempoolu Slipstream w przypadku gwałtownego wzrostu konkurencyjnych stawek. W dającej się przewidzieć przyszłości nie pobieramy dodatkowych opłat za tę usługę, ale użytkownicy są odpowiedzialni za uiszczenie odpowiednich opłat transakcyjnych w Bitcoinie”.

Ta ostatnia kwestia ma znaczenie. MARA nie nakłada własnej dopłaty. Użytkownicy nadal płacą standardowe opłaty sieciowe Bitcoina, po prostu wysyłają transakcję przez kanał prywatny zamiast otwartego.

Luka w portfelu sprzętowym wymusza ten moment

Wybór momentu nie jest przypadkowy. Pod koniec lipca badacze ujawnili poważną lukę w portfelach sprzętowych Coldcard, której źródłem był błąd w kodzie oprogramowania układowego z marca 2021 roku. Zamiast pobierać losowość z dedykowanego generatora sprzętowego urządzenia, dotknięte problemem modele Coldcard podczas tworzenia 24-wyrazowej frazy seed portfela korzystały z mniej bezpiecznego procesu programowego. Błąd ten zmniejszył efektywną losowość z oczekiwanych 128 bitów do około 40 bitów w starszych modelach i 72 bitów w nowszych. Mniejsza liczba możliwych kombinacji oznacza, że osoba atakująca dysponująca wystarczającą mocą obliczeniową może odgadnąć frazę początkową i odblokować portfel.

Hakerzy ścigają się, by opróżnić słabe portfele

Atakujący działali szybko. Wstępne szacunki wskazywały na około 594 BTC, co w tamtym czasie stanowiło blisko 38 milionów dolarów, wyczerpanych z około 500 adresów. Późniejsze szacunki podają łączną kwotę bliższą 70–88 milionów dolarów, w miarę jak ujawniano kolejne skompromitowane portfele. Według stanu na 4 sierpnia szacuje się, że hakerzy ukradli około 1 816 BTC, o wartości około 116 milionów dolarów, z ponad 5 200 różnych portfeli.

Poprawka oprogramowania sprzętowego zapobiega dziedziczeniu tej luki przez nowe portfele, ale nie ma żadnego wpływu na frazy seedowe wygenerowane już przy użyciu wadliwego kodu. Każdy, kto skonfigurował kartę Coldcard w latach, w których wystąpiła ta luka, musi przenieść swoje monety do nowego portfela.

Publiczne przenoszenie środków stwarza własną pułapkę

Dla osób korzystających z konfiguracji wielopodpisowych, powszechnych wśród użytkowników Coldcard, którzy rozdzielają kontrolę nad środkami na kilka urządzeń, sama migracja wiąże się z ryzykiem. Publiczne ogłoszenie transakcji ujawnia klucze portfela i warunki wydatkowania. Atakujący, który już posiada pasujący słaby klucz prywatny, może wykryć tę transakcję, utworzyć konkurencyjną transakcję z wyższą opłatą i wykorzystać funkcję sieci Bitcoin o nazwie „Replace-by-Fee” (RBF), aby wyprzedzić kolejkę i ukraść środki, zanim oryginalna transakcja zostanie potwierdzona.

Rozwiązanie Slipstream firmy MARA eliminuje to okno narażenia. Ponieważ transakcja nigdy nie trafia do publicznej puli transakcji (mempool), osoba atakująca nie widzi kluczy ani szczegółów wydatkowania, dopóki firma MARA nie wydobywa monet do potwierdzonego bloku.

Slipstream pojawił się dwa lata przed kryzysem

MARA po raz pierwszy uruchomiła Slipstream 22 lutego 2024 r., mając na celu pomoc w realizacji dużych lub nietypowych transakcji, których przekazywania wiele węzłów Bitcoin odmawia zgodnie ze standardową polityką. Dyrektor generalny Fred Thiel przedstawił to wówczas jako sposób na wykorzystanie infrastruktury wydobywczej MARA na rzecz zaawansowanych użytkowników bitcoina, przy jednoczesnym zachowaniu zgodności z zasadami protokołu. Wcześniej dostęp wymagał kodu klienta w okresach dużego zapotrzebowania lub podczas prac konserwacyjnych. Wymóg ten został obecnie zniesiony.

Użytkownicy nadal ponoszą ryzyko związane z zaufaniem i czasem

Slipstream nadal zależy od tego, czy MARA znajdzie bloki. Transakcja pozostaje w prywatnej kolejce MARA do momentu, aż pula wydobywa blok, więc czas realizacji zależy całkowicie od udziału MARA w całkowitej mocy obliczeniowej sieci Bitcoin.

W momencie publikacji pula MARA kontroluje ponad 5% łącznej mocy obliczeniowej zasilającej Bitcoin. MARA zaleca użytkownikom utrzymywanie opłat na konkurencyjnym, ale nie nadmiernym poziomie, ponieważ transakcja utknięta w prywatnej kolejce podczas gwałtownego wzrostu opłat może pozostawać w oczekiwaniu przez dłuższy czas przed potwierdzeniem.

Co dalej z posiadaczami kart Coldcard

Szersza społeczność bitcoinowa traktuje publiczne ponowne uruchomienie Slipstream jako praktyczne narzędzie na wypadek kryzysu bezpieczeństwa, a nie jako trwałą zmianę w sposobie przeprowadzania większości transakcji. W przypadku codziennych przelewów standardową drogą pozostaje publiczny mempool. Jednak dla użytkowników Coldcard, którzy nadal przechowują monety na naruszonych seedach, badacze bezpieczeństwa i twórcy portfeli wskazują na Slipstream jako jeden z bardziej niezawodnych sposobów na przesuwanie środków bez uprzedniego alarmowania atakujących.

Warto śledzić aktualizowane szacunki strat w miarę ujawniania kolejnych naruszonych adresów, dodatkowe wytyczne od Coldcard dotyczące tego, które wersje oprogramowania i zakresy numerów seryjnych są zagrożone, a także to, czy inni kopacze pójdą w ślady MARA, oferując podobną prywatną ścieżkę przesyłania danych.