Kumusta sa lahat, nagpapadala kami ng mahalagang update sa kaligtasan para sa ating komunidad
Noong Hulyo 30, 2026, isang sopistikadong attacker ang nagsagawa ng mabilis at awtomatikong on-chain sweep, na nag-ubos ng mahigit 1,082.65 BTC sa mahigit 4,500 na address sa loob lamang ng 41 minuto.
Alam kong ang mga balitang tulad nito ay maaaring makaramdam ng alarma, ngunit huminga muna tayo nang malalim at suriin kung ano ang nangyari. Ang pinakamahalagang aral mula pa lang: ang pisikal na seguridad ng air-gap ng Coldcard hardware mismo ay hindi kailanman nasira. Sa halip, ang isyu ay nagmumula sa isang nakatagong depekto sa loob ng software na lumikha ng mga sikretong recovery phrase sa simula pa lang.
🔍 Isang Magiliw na Pagtingin sa Teknikal na Ugat ng Sanhi
Kapag maayos ang lahat, ang iyong Coldcard wallet ay umaasa sa isang espesyal na pisikal na bahagi—isang Hardware True Random Number Generator (TRNG)—upang maghabi ng isang ultra-secure na 24 na salita na seed phrase. Kapag ginamit mo ang True Random number Generator Program sa itaas, makakakuha ka ng kombinasyon ng 24 na salita na may password na imposibleng hulaan sa matematika, dahil ang mga posibleng hula ay 2 na itinaas sa 256 na kapangyarihan, hindi 2 parisukat, hindi 2 sa ika-3 o ika-10 o kahit ika-100, 2 sa 256. Katumbas ito ng isang numerong mas malaki sa lahat ng atomo sa Uniberso. Isang tunay na hindi mahulaan na 24 na salita na password na "seed phrase".
Kung Saan Naligaw ang mga Bagay
Ang Nilalayong Landas: Hardware TRNG $\rightarrow$ 256 bits ng puro, hindi mahuhulaan na entropy $\rightarrow$ $2^{256}$ keyspace.
Ang Maling Landas: libNgU Logic Check $\rightarrow$ Hindi nilalayong fallback sa Yasmarang $\rightarrow$ $2^{40}$ hanggang $2^{48}$ keyspace.
[Normal na Landas] Hardware TRNG ---> 256 bits True Entropy ---> 2^256 Keyspace
[Bug Path] libNgU Check ---> Fallback to Yasmarang ---> 2^40 hanggang 2^48 Keyspace
Isang depekto sa software coding ng bawat wallet ang naging dahilan kung bakit HINDI ginamit ng wallet software ang True Random Number Generator, at sa halip ay nakabuo ito ng 24 na salitang password phrases na may mas mababang bilang ng mga posibleng pagpipilian. Ang mas mababang bilang ay nasa pagitan ng 1 trilyon at 100 trilyon. Ang tila napakalaking bilang ng mga posibleng hula na ito ay ginawa ng isang binagong cryptocurrency computer, at nagawa nitong hulaan ang mga password para sa 1000 wallet sa 41 wallet at sa gayon, gamit ang 24 na salitang password phrases na nahulaan, kinokontrol na nito ngayon ang mga wallet at inilipat ang bitcoin sa isang wallet.
⏳ Paano Naganap ang Pag-atake
Pagmapa ng mga Posibilidad: Nagpatakbo ang mga attacker ng mga high-performance na GPU at ASIC upang i-cycle ang mga potensyal na chip UID at mga historical clock timestamp.
Pagkuha ng mga Key: Ang mga pribadong key at magkatugmang pampublikong address ay nabuo offline.
Pag-scan sa Network: Ang mga kandidatong address ay isinangguni laban sa mga real-time na Bitcoin UTXO.
Pagkuha ng mga Pondo: Nang matagpuan ang mga tugma, ang mga transaksyon ng sweep ay ipinalabas sa mga bloke 960,183 hanggang 960,191 gamit ang pare-parehong 30 sat/vB fee rate at zero change output.
💡 Pormal na Pagkilala at Pananaw ng Eksperto
Coinkite (Rodolfo Novak, Co-Founder): Kinumpirma ang software fallback bug sa v4.0.1, naglabas ng emergency hotfix, at mabait na ipinaalala sa komunidad na ang simpleng pag-update ng iyong firmware ay hindi makakaayos ng isang seed phrase na nabuo sa ilalim ng mahinang path ng software.
Galaxy Research: Itinala ang mga daloy ng transaksyon, ipinapaalala sa ating lahat na ang mga pisikal na air-gap ay maaari lamang tayong protektahan kapag ang unang pagbuo ng seed ay tunay na random.
Block Security Team (Clay Garrett et al.): Natuklasan at inihiwalay ang depekto sa build pipeline, na tumutulong na protektahan ang mas malawak na ecosystem sa pamamagitan ng koordinadong pagsisiwalat.
💖 Ang Kailangan Mong Gawin Ngayon
Isang Magiliw na Paalala Bago Tayo Magsimula
Ang simpleng pag-update ng software ng iyong device ay hindi mapoprotektahan ang isang wallet na nilikha noong panahong ito. Dahil ang orihinal na lihim na parirala ay nabuo gamit ang isang nahuhulaang pattern, nananatili itong mahina laban sa mga supercomputer. Upang mapanatiling ligtas ang iyong mga ipon, gugustuhin naming lumikha ng isang bagong-bagong tahanan para sa iyong Bitcoin!
Kung ginawa mo ang iyong wallet gamit ang firmware v4.0.1 o mas bago, narito ang isang simple at sunud-sunod na paraan upang protektahan ang iyong mga pondo:
Ilipat ang Iyong Bitcoin sa isang Bagong Lihim na Parirala:
Magsimulang muli! Gumawa ng isang bagong-bagong 24-salitang parirala sa pagbawi sa isang na-update at na-verify na device (o ibang pinagkakatiwalaang hardware wallet). Kapag na-set up na ang iyong bago at ligtas na parirala, dahan-dahang ilipat ang lahat ng iyong Bitcoin dito.
Subukan ang Physical Dice Rolls para sa Dagdag na Kapayapaan ng Isip:
Gusto mo bang maging 100% sigurado na ang iyong lihim na parirala ay hindi mahuhulaan? Igulong ang pisikal na dice sa iyong mga kamay at ilagay ang mga numero nang direkta sa iyong device kapag sine-set up ang iyong bagong parirala. Ang pagdaragdag ng iyong sariling totoong randomness ay ganap na lumalampas sa anumang software program! Isaalang-alang ang Pagbabahagi ng Responsibilidad (Multisig):
Para sa ganap na katahimikan, maaari kang mag-set up ng isang "multisig" vault—tulad ng paghingi ng 2 sa 3 key approval mula sa iba't ibang brand ng wallet bago mailipat ang anumang pondo. Sa ganoong paraan, kahit na magkamali ang software ng isang kumpanya, mananatiling ganap na ligtas ang iyong vault.
Posted Using INLEO
