Bitcoin vaarassa: Kuinka Coldcard järkytti koko kryptoteollisuutta

Coldcard-laitteistolompakon haavoittuvuuteen liittyvien menetysten arvioidaan olevan nyt yli 100 miljoonaa dollaria Bitcoineina. Tapaus on elvyttänyt keskustelun yhdestä kryptomaailman vanhimmista turvallisuusperiaatteista: pitkäaikaisten sijoitusten pitämisestä poissa pörsseistä ja omassa hallinnassa. Mutta miltä turvallinen Bitcoin-säilytys todellisuudessa näyttää?

Laajeneva tietoturvapoikkeama

Coldcard-valmistaja Coinkite paljasti hiljattain vian, joka koskee haavoittuvaa laiteohjelmistoa, joka julkaistiin maaliskuun 2021 ja heinäkuun 2025 välisenä aikana. Yrityksen mukaan kyseiset laitteet saattoivat luoda palautussiemeniä (recovery seeds), joiden entropia oli merkittävästi heikentynyt lompakon satunnaislukugeneraattorissa olleen virheen vuoksi. Ongelma koskee useita laitesukupolvia, mukaan lukien Coldcard Mk2, Mk3, Mk4, Mk5 ja Coldcard Q.

Yritys on julkaissut korjatun laiteohjelmiston, mutta haavoittuvalla ohjelmistolla luodut lompakot vaativat muutakin kuin päivityksen. Coinkite neuvoo kyseisiä käyttäjiä luomaan uuden palautussiemenen ja siirtämään varansa.

Galaxy Researchin mukaan hyökkääjät ovat tähän mennessä varastaneet noin 1 800 BTC:tä, arvoltaan noin 114 miljoonaa dollaria, vähintään neljässä koordinoidussa hyökkäysaallossa, jotka on kohdistettu haavoittuviin lompakoihin. Tutkijoiden mukaan uusia vaarantuneita osoitteita tunnistetaan edelleen, mikä viittaa siihen, että tapauksen koko laajuus on vasta selviämässä.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Tapauksen mittakaava yllätti monet Bitcoin-käyttäjät, sillä Coldcardia on pitkään pidetty yhtenä alan turvallisuuskeskeisimmistä laitteistolompakoista. Pelkästään Bitcoinille suunniteltuna se tuli erityisen suosituksi kokeneiden käyttäjien keskuudessa sellaisten ominaisuuksien ansiosta, kuten air-gap-allekirjoitus, avoimen lähdekoodin laiteohjelmisto ja vahva painotus hyökkäyspinta-alan minimointiin.

Luottamus omatoimiseen säilytykseen

Haavoittuvuus vaikutti myös markkinatunnelmaan. Bitcoinin hinta laski yli 1 000 dollaria viimeisen vuorokauden aikana haavoittuvuusuutisen levitessä, vaikka myyntiaalto osui samaan aikaan laajempien markkinapaineiden kanssa. Jotkut kommentaattorit yhdistivät laskun kasvavaan huoleen laitteistolompakoiden turvallisuudesta, kun taas lohkoketjuanalyysiyritys Santiment raportoi markkinoiden kasvavasta levottomuudesta sen jälkeen, kun varoja alkoi liikkua vuosia passiivisina olleista lompakoista.

On vaikea määrittää, vaikuttiko haavoittuvuus olennaisesti Bitcoinin hintaan. Kryptomarkkinat reagoivat moniin tekijöihin samanaikaisesti, ja turvallisuuspoikkeamat tapahtuvat usein laajemman makrotaloudellisen kehityksen rinnalla.

Siitä huolimatta reaktio korostaa, kuinka paljon luottamusta Bitcoinin omistajat asettavat laitteistolompakoihin omatoimisen säilytyksen perustana. Tuo luottamus on syntynyt syystä.

Miksi laitteistolompakoista tuli standardi

Bitcoinin alkuperäinen lupaus oli, että käyttäjät voisivat toimia omana pankkinaan. Vaihtokauppa oli yhtä selvä: ei ole olemassa instituutiota, joka nollaisi salasanan, peruuttaisi luvattoman tapahtuman tai palauttaisi kadonneet varat.

Ajan myötä alalle vakiantui yksinkertainen lähestymistapa. Pörssit tarjosivat mukavuutta, mutta vaativat käyttäjiä luottamaan varansa kolmannelle osapuolelle. Mt. Goxin ja FTX:n kaltaiset merkittävät romahdukset vahvistivat periaatetta, jonka mukaan sijoittajien tulisi hallita omia yksityisiä avaimiaan sen sijaan, että he luottaisivat keskitettyihin säilyttäjiin.

Laitteistolompakoista tuli suosituin ratkaisu, koska ne pitävät yksityiset avaimet offline-tilassa ja omistajan hallinnassa. Vuosien ajan yksi suositus hallitsi Bitcoin-turvallisuuskeskusteluja: osta Bitcoinia pörssistä ja siirrä se sitten kylmäsäilytykseen (cold storage).

Coldcard-haavoittuvuus ei välttämättä kumoa tätä neuvoa. Se kuitenkin muistuttaa käyttäjiä siitä, että omatoiminen säilytys riippuu myös niiden laitteiden ja ohjelmistojen turvallisuudesta, joita käytetään yksityisten avainten luomiseen ja suojaamiseen.

Jokaisella säilytystavalla on hyvät ja huonot puolensa

Viimeisin tapaus korostaa laajempaa todellisuutta. Jokainen Bitcoinin säilytystapa suojaa tietyiltä riskeiltä mutta altistaa käyttäjät toisille. Sopivin lähestymistapa riippuu usein sijoituksen koosta, siitä kuinka usein varoja on käytettävä ja mitä uhkia sijoittaja yrittää vähentää.

Laiteohjelmiston haavoittuvuudet ovat edelleen suhteellisen harvinaisia. Tietoturvatutkijat tunnistavat edelleen tietojenkalasteluhyökkäykset, valelompakkosovellukset, sosiaalisen manipuloinnin ja vaarantuneet palautuslausekkeet huomattavasti yleisimmiksi kryptovaluuttavarkauksien syiksi.

Coldcard-tapaus ei osoita, että laitteistolompakot olisivat perustavanlaatuisesti turvattomia. Se kuitenkin havainnollistaa, miksi Bitcoin-turvallisuudessa on aina ollut kyse erityyppisten riskien ymmärtämisestä eikä vain yhteen tuotteeseen luottamisesta.

Turvallisuudesta on tulossa kerroksellisempaa

Digitaalisten varojen arvon kasvaessa monet pitkäaikaiset Bitcoin-omistajat ovat ottaneet käyttöön kehittyneempiä turvallisuusmenetelmiä.

Suursijoittajat jakavat varojaan yhä useammin useisiin lompakoihin, säilyttävät varmuuskopioita eri paikoissa tai käyttävät moniallekirjoitusjärjestelyjä (multisignature), jotka vaativat useita itsenäisiä avaimia ennen kuin tapahtumat voidaan valtuuttaa. Monet institutionaaliset säilyttäjät luottavat vastaaviin periaatteisiin vähentääkseen riippuvuutta mistään yksittäisestä laitteesta tai palautussiemenestä.

Useimmat yksityissijoittajat eivät tarvitse institutionaalisen tason säilytyskäytäntöjä, mutta laitteistolompakoiden ostaminen suoraan valmistajilta, laiteohjelmiston pitäminen ajan tasalla ja palautuslausekkeiden suojaaminen offline-tilassa ovat edelleen tehokkaimpia tapoja vähentää riskejä.

Coldcard-tapaus on myös muistutus siitä, että omatoiminen säilytys ei ole asia, jonka käyttäjät asettavat kerran ja unohtavat. Kuten mikä tahansa turvajärjestelmä, se vaatii jatkuvaa ylläpitoa ohjelmistojen, laitteiden ja uhkien kehittyessä.

Omatoimisen säilytyksen seuraava luku

Vuosien ajan Bitcoin-säilytykseen liittyvä keskustelu keskittyi yksinkertaiseen suositukseen: siirrä kolikkosi pois pörsseistä kylmäsäilytykseen. Coldcard-tapaus ei välttämättä kyseenalaista tätä neuvoa, mutta se osoittaa, että turvallinen omatoiminen säilytys riippuu muustakin kuin oikean laitteen valinnasta. Se riippuu myös siitä, miten laitetta käytetään, ylläpidetään ja päivitetään ajan myötä.

Bitcoin suunniteltiin vähentämään tarvetta luottaa rahoituksen välittäjiin. Ekosysteemin kypsyessä keskustelu saattaa vähitellen siirtyä yhden "turvallisimman" säilytystavan etsimisestä kohti jokaisen turvakerroksen takana olevien kompromissien ymmärtämistä.