Coldcard hack

Απ' ότι διαβάζω, έχουν εκμεταλλευτεί την ευπάθεια του coldcard χρόνια πριν το πρόσφατο hack: https://stacker.news/items/1538415. Πρόκειται για ακριβώς το ίδιο πρόβλημα, ο χρήστης έκανε generate seed phrase χωρίς passphrase και χωρίς ζάρια (hardware RNG), και με το που έστειλε BTC, έγιναν απευθείας spent.

Πώς γίνεται να μην το είχαν κοιτάξει όταν υπήρχαν ήδη τόσα παράπονα;

Είχε προηγηθεί ένα άλλο περιστατικό, το firmware του Coldcard επέτρεπε να εισάγεις αποτέλεσμα με μόνο μία ζαριά: https://www.youtube.com/watch?v=oj_W3xOlt6U (δεν έλεγχε καν αν οι ζαριές είναι >50!).

Βρωμάει η ιστορία.

Όχι απλά βρωμάει, αλλά κάνει μπαμ ότι η μπίζνα ήταν «βιτρίνα».

Σαν κάτι φούρνους στην Αθήνα που ξεπλένουν χρήμα από άλλες δραστηριότητες...

ΥΓ: Θα πέσει κλάμα αν custodians σε CEX έχουν χρησιμοποιήσει coldcard. Grin

https://x.com/oomahq/status/2085717166884618584

Πιο inside job δεν πάει. Ο CTO της Coldcard χρησιμοποίησε alt account με ψευδώνυμο "switck" στο Github για να δημοσιεύσει την #ifndef αλλαγή που οδήγησε σε όλο αυτό το χαμό, ο οποίος απ' ότι λέει έχει ιστορικό με ανάπτυξη keyloggers.

Πάντως όπως το σκέφτομαι δυνητικά μπορεί να κάνει τεράστια ζημιά αυτό το "hack" σε ψυχολογικό επίπεδο.

Τόσα χρόνια μας είχαν γανώσει τα αυτιά με τα hardware wallets ότι είναι πιο «ασφαλή», το ακούει ο Average Joe και αποφασίζει self-custody, κάνει ανάληψη τα BTC από το CEX και του τα τρώνε.

Πόσοι έχουν λεφτά σε hardware wallet και θα τα στείλουν σε CEX για σιγουριά; (ειδικά αν έχει και Proof of Reserves)

Το μόνο που «σώζει» κάπως την κατάσταση είναι η χαμηλή τιμή του BTC αυτή την περίοδο (χαμηλότερη από το ATH του 2021 και αν βάλουμε και τον πληθωρισμό 5 ετών ακόμα χειρότερα), είναι bear market περίοδος και το BTC δεν πολυακούγεται.

Τέλη 2025 θα γινόταν μεγαλύτερη ζημιά...

Το ζήσαμε κι αυτό, πάμε παρακάτω. Κι έλεγα πολύ ελαφρύ bear market μέχρι στιγμής, κοίταζα την τιμή μόνο.

Το bear market του 2026 θα λέμε ότι είχε Epstein crash, cold storage hacks, ευπάθειες από AI σε Bitcoin software, πώληση BTC από Strategy. Να δω τι άλλο μας περιμένει.

Νέο πανηγύρι: https://x.com/Excellion/status/2096819523550855255. Κλοπή 4000 BTC από 11-of-15 federation multi-sig.

Απ' ότι καταλαβαίνω δεν ήταν ίδιας τάξης με το Coldcard (δεν μάντεψαν τα private keys), αλλά ξεγέλασαν τους κόμβους του sidechain ότι κατέχουν 4000 L-BTC, κι άρα όταν έφτασαν να τα εξάγουν για BTC, οι federation nodes υπέγραψαν τη συναλλαγή χωρίς κανένα θέμα. Δε καταλαβαίνω πως δεν υπάρχουν έξτρα μέτρα ασφάλειας όταν ζητείται να εξαχθεί τόσο μεγάλο ποσό...

Από ένα τέτοιο inflation bug μπορούν να χτυπηθούν και privacy coins. Ήδη το Zcash χτυπήθηκε φέτος.

Λένε ότι είναι whitehat hackers, κι άρα θα τα επιστρέψουν. Μακάρι...

Ολόκληρη υποκατηγορία για hacks θα χρειαστούμε: Reports about wallet-draining by Ledger users. Total losses $86M+

Έχω δημοσιεύσεις μου από το 2022-2023 που έλεγα ότι η Ledger είναι πιθανός συστημικός Δούρειος Ίππος (μάλιστα κάποτε είχε link/σελίδα για swap με FTX).

Το Matrix έχει χώσει παντού τους Agents του...

Ouch:

https://x.com/lookonchain/status/2108585005635301427

Με δωρεάν Electrum θα ήταν πιο ασφαλής.

Κάποιοι είπαν πως το Ledger ισχυρίζεται πως την αδυναμία την προκάλεσε τρίτος πωλητής και όχι οι ίδιοι. Μπορεί βέβαια και να λένε μπαρούφες. Δεν τους πιστεύω μέχρι να το επιβεβαιώσει τρίτος ερευνητής. Σε τέτοιες περιπτώσεις έπρεπε να παρακαλάνε security researchers να μπουν στην μέση να τους βοηθήσουν στην έρευνα ως ανεξάρτητοι.

Καμία σοβαρή έρευνα δεν μπορεί να γίνει χωρίς ανοικτό κώδικα ή έστω AI decompilation.