🚨 $89 JUTA RAIB. BUKAN DARI PERETASAN BITCOIN—TAPI KARENA KELALAIAN MANUSIA.
Berhentilah menyebut ini sebagai "peretasan Bitcoin". Bitcoin tidak dibobol.
Yang dibobol adalah orang-orangnya.
Kegagalan keamanan yang sangat fatal yang terkait dengan seed wallet yang dibuat melalui Coldcard yang rentan, kini telah berkembang menjadi salah satu kampanye pengurasan wallet terbesar dalam ingatan baru-baru ini.
Angkanya Mengerikan
- 1.367 BTC dicuri
- Hampir $89 juta hilang
- 4.585 alamat korban dikompromikan
- Serangan masih berlangsung
Menurut Galaxy Research, ini kini menjadi gelombang ketiga dari penyapuan wallet yang dikoordinasikan.
Gelombang pertama sangat menghancurkan.
- 1.083 BTC
- 1.196 alamat
- Dikuras dalam waktu hanya 41 menit
- Hampir 1 BTC per korban
Gelombang ketiga menceritakan kisah yang berbeda.
- 208 BTC
- 1.912 alamat
- Rata-rata pencurian: hanya sedikit di atas 0,1 BTC per korban
Kenapa?
Karena wallet terbesar sudah dikosongkan.
Sekarang para penyerang menyisir apa pun yang tersisa.
Ini Bukan Sulap.
Ini bukan komputasi kuantum.
Ini bukan memecahkan kriptografi Bitcoin.
Ini adalah bencana pembangkitan kunci yang dapat diprediksi.
Versi firmware Maret 2021 dilaporkan menghasilkan seed wallet menggunakan generator bilangan acak perangkat lunak yang dapat diprediksi, alih-alih mengandalkan entropi dari chip perangkat keras.
Kesalahan tunggal itu menciptakan kumpulan kunci privat yang dapat direproduksi dalam skala terbatas.
Siapa pun dengan daya komputasi dan pengetahuan teknis yang cukup bisa mem-regen kunci-kunci itu secara offline—tanpa perlu menyentuh perangkat wallet para korban.
Baca lagi.
Offline.
Tanpa phishing.
Tanpa malware.
Tanpa situs palsu.
Tanpa pencurian perangkat.
Hanya matematika yang mengeksploitasi kerandoman yang lemah.
Serangan Terus Berkembang.
Para penjahat tidak lagi bertindak dengan cara yang sama.
Pada gelombang sebelumnya, Bitcoin hasil curian dialirkan ke wallet kolektor bersama, sehingga pelacakan di blockchain relatif mudah.
Sekarang?
Mereka mengubah taktik.
Dana dialihkan secara individual ke output Pay-to-Witness-Script-Hash (P2WSH)—struktur yang umumnya mampu mendukung pengeluaran multisignature atau pengeluaran yang dibatasi waktu.
Berhentilah menyebut ini sebagai "peretasan Bitcoin". Bitcoin tidak dibobol.
Yang dibobol adalah orang-orangnya.
Kegagalan keamanan yang sangat fatal yang terkait dengan seed wallet yang dibuat melalui Coldcard yang rentan, kini telah berkembang menjadi salah satu kampanye pengurasan wallet terbesar dalam ingatan baru-baru ini.
Angkanya Mengerikan
- 1.367 BTC dicuri
- Hampir $89 juta hilang
- 4.585 alamat korban dikompromikan
- Serangan masih berlangsung
Menurut Galaxy Research, ini kini menjadi gelombang ketiga dari penyapuan wallet yang dikoordinasikan.
Gelombang pertama sangat menghancurkan.
- 1.083 BTC
- 1.196 alamat
- Dikuras dalam waktu hanya 41 menit
- Hampir 1 BTC per korban
Gelombang ketiga menceritakan kisah yang berbeda.
- 208 BTC
- 1.912 alamat
- Rata-rata pencurian: hanya sedikit di atas 0,1 BTC per korban
Kenapa?
Karena wallet terbesar sudah dikosongkan.
Sekarang para penyerang menyisir apa pun yang tersisa.
Ini Bukan Sulap.
Ini bukan komputasi kuantum.
Ini bukan memecahkan kriptografi Bitcoin.
Ini adalah bencana pembangkitan kunci yang dapat diprediksi.
Versi firmware Maret 2021 dilaporkan menghasilkan seed wallet menggunakan generator bilangan acak perangkat lunak yang dapat diprediksi, alih-alih mengandalkan entropi dari chip perangkat keras.
Kesalahan tunggal itu menciptakan kumpulan kunci privat yang dapat direproduksi dalam skala terbatas.
Siapa pun dengan daya komputasi dan pengetahuan teknis yang cukup bisa mem-regen kunci-kunci itu secara offline—tanpa perlu menyentuh perangkat wallet para korban.
Baca lagi.
Offline.
Tanpa phishing.
Tanpa malware.
Tanpa situs palsu.
Tanpa pencurian perangkat.
Hanya matematika yang mengeksploitasi kerandoman yang lemah.
Serangan Terus Berkembang.
Para penjahat tidak lagi bertindak dengan cara yang sama.
Pada gelombang sebelumnya, Bitcoin hasil curian dialirkan ke wallet kolektor bersama, sehingga pelacakan di blockchain relatif mudah.
Sekarang?
Mereka mengubah taktik.
Dana dialihkan secara individual ke output Pay-to-Witness-Script-Hash (P2WSH)—struktur yang umumnya mampu mendukung pengeluaran multisignature atau pengeluaran yang dibatasi waktu.