MARA öppnar Slipstream för allmänheten medan Coldcard-offren kämpar för att ta sig därifrån

MARA avskaffar åtkomstkoderna

MARA Holdings, den Nasdaq-noterade bitcoin-gruvföretaget och leverantören av infrastruktur för artificiell intelligens (AI), tidigare känt som Marathon Digital, utvecklade tjänsten Slipstream så att användare kan skicka bitcoin-transaktioner direkt till företagets gruvpool istället för att sända dem till det offentliga nätverket.

De flesta bitcoin-transaktioner passerar genom ett gemensamt väntrum som kallas mempoolen, där varje nod i nätverket kan se en transaktion innan den bekräftas i ett block. Slipstream hoppar över det väntrummet. En användare skickar en signerad transaktion direkt till MARA, och den förblir dold tills MARA utvinner ett block som innehåller den.

Den 3 augusti 2026 publicerade MARA Foundation följande uppdatering på X:

”MARA Slipstream är nu tillgängligt som en tillståndsfri allmännyttig tjänst utan krav på klientkod. Var försiktig och återhållsam med avgifterna för att undvika att transaktioner fastnar i Slipstream-mempoolen om konkurrerande avgifter skulle stiga kraftigt. Under överskådlig framtid tar vi inte ut några extra avgifter för denna tjänst, men användarna ansvarar för att betala lämpliga Bitcoin-transaktionsavgifter.”

Den sista punkten är viktig. MARA lägger inte på någon egen avgift. Användarna betalar fortfarande normala avgifter i Bitcoin-nätverket, de skickar bara transaktionen via en privat kanal istället för den öppna.

En brist i en hårdvaruplånbok tvingar fram tidpunkten

Tidpunkten är ingen tillfällighet. I slutet av juli avslöjade forskare en allvarlig brist i Coldcard-hårdvaruplånböcker, som kunde spåras tillbaka till ett kodningsfel i firmware från mars 2021. I stället för att hämta slumpmässiga värden från enhetens dedikerade hårdvarugenerator föll de drabbade Coldcard-modellerna tillbaka på en svagare mjukvaruprocess när de skapade plånbokens 24-ordiga seed-fras. Det misstaget minskade den effektiva slumpmässigheten från förväntade 128 bitar till ungefär 40 bitar på äldre modeller och 72 bitar på nyare. Färre möjliga kombinationer innebär att en angripare med tillräcklig datorkraft kan gissa startfrasen och låsa upp plånboken.

Hackare tävlar om att tömma svaga plånböcker

Angriparna agerade snabbt. Enligt tidiga beräkningar tömdes cirka 594 BTC – motsvarande nära 38 miljoner dollar vid den tidpunkten – från ungefär 500 adresser. Senare uppskattningar satte summan närmare 70 till 88 miljoner dollar i takt med att fler komprometterade plånböcker upptäcktes. Per den 4 augusti uppskattas det att hackarna har stulit cirka 1 816 BTC, värda omkring 116 miljoner dollar, från mer än 5 200 olika plånböcker.

En firmwareuppdatering förhindrar att nya plånböcker drabbas av säkerhetsbristen, men den hjälper inte de seed-fraser som redan genererats med den felaktiga koden. Alla som skapade ett Coldcard under de drabbade åren måste flytta sina mynt till en ny plånbok.

Att flytta medel offentligt skapar sin egen fälla

För personer som använder konfigurationer med flera signaturer – vilket är vanligt bland Coldcard-användare som fördelar kontrollen över medlen på flera enheter – innebär själva migreringen en risk. Att sända en transaktion offentligt avslöjar plånbokens nycklar och villkoren för utbetalning. En angripare som redan har en matchande svag privatnyckel kan upptäcka den transaktionen, skapa en konkurrerande transaktion med en högre avgift och använda en funktion i Bitcoin-nätverket som kallas Replace-by-Fee (RBF) för att gå före i kön och stjäla medlen innan den ursprungliga transaktionen bekräftas.

MARAs Slipstream eliminerar detta utsatthetsfönster. Eftersom transaktionen aldrig hamnar i den offentliga mempoolen ser en angripare aldrig nycklarna eller utbetalningsuppgifterna förrän MARA redan har minat mynten till ett bekräftat block.

Slipstream fanns redan två år före krisen

MARA lanserade Slipstream för första gången den 22 februari 2024, med målet att underlätta stora eller ovanliga transaktioner som många Bitcoin-noder vägrar att vidarebefordra enligt standardpolicyn. VD Fred Thiel beskrev det vid den tiden som ett sätt att sätta MARAs mininginfrastruktur i arbete för avancerade Bitcoin-användare samtidigt som man höll sig inom protokollets regler. Tidigare krävdes en klientkod för åtkomst under perioder med hög efterfrågan eller underhåll. Det kravet finns nu inte längre.

Användarna bär fortfarande på förtroende- och tidsrisken

Slipstream är fortfarande beroende av att MARA hittar block. En transaktion ligger i MARAs privata kö tills poolen minar ett block, så tidpunkten beror helt på MARAs andel av Bitcoins totala hashrate.

Vid tidpunkten för publiceringen står MARAs pool för över 5 % av den sammanlagda hashkraften som driver Bitcoin. MARA uppmanar användarna att hålla avgifterna konkurrenskraftiga men inte överdrivna, eftersom en transaktion som fastnar i den privata kön under en avgiftsspik kan ligga kvar en stund innan den bekräftas.

Vad väntar härnäst för Coldcard-innehavare

Det bredare bitcoin-samhället betraktar Slipstreams offentliga nylansering som ett praktiskt verktyg för en säkerhetskris, inte som en permanent förändring av hur de flesta transaktioner bör hanteras. För vardagliga överföringar förblir den offentliga mempoolen den vanliga vägen. Men för Coldcard-användare som fortfarande har mynt på komprometterade seed-fröer har säkerhetsforskare och plånboksutvecklare pekat på Slipstream som ett av de mer tillförlitliga sätten att flytta medel utan att först avslöja sig för angripare.

Håll utkik efter uppdaterade förlustuppskattningar i takt med att fler komprometterade adresser dyker upp, ytterligare vägledning från Coldcard om vilka firmwareversioner och serienummerintervall som är drabbade, samt om andra miners följer MARA:s exempel och erbjuder en liknande privat inlämningsväg.