Giám đốc An ninh Kraken: Lỗ hổng Coldcard khiến hơn 90 triệu USD Bitcoin bị đánh cắp, cơ chế kiểm thử ngành ví cứng cần được cải thiện khẩn cấp
Theo TechFlow, ngày 03 tháng 8, Cointelegraph đưa tin, Coinkite, nhà sản xuất ví lạnh Coldcard tiết lộ thiết bị của họ tồn tại một lỗ hổng bộ tạo số ngẫu nhiên (RNG) kéo dài 5 năm từ tháng 3 năm 2021 đến nay. Lỗ hổng này bắt nguồn từ việc trong quá trình nâng cấp firmware đã vô tình định tuyến quá trình tạo seed ví đến bộ tạo số giả ngẫu nhiên (PRNG) MicroPython kém bảo mật hơn, thay vì bộ tạo số ngẫu nhiên thực (TRNG) như thiết kế ban đầu. Do việc xem xét mã nguồn chỉ xác minh sự tồn tại của mã TRNG mà không xác minh xem nó có thực sự được gọi hay không, dẫn đến việc lỗ hổng không bị phát hiện trong thời gian dài.
Hiện đã có hơn 4.500 địa chỉ bị tấn công, gần 90 triệu USD Bitcoin bị đánh cắp. Giám đốc An ninh của Kraken Nick Percoco cho biết sự kiện này nên trở thành "hồi chuông cảnh tỉnh" cho ngành ví lạnh, kêu gọi đưa vào cơ chế kiểm tra độc lập bởi bên thứ ba, bắt buộc xác minh xem nguồn entropy mà firmware sản xuất thực tế gọi đến có được chứng nhận hay không. Coinkite đã tạm dừng việc giao hàng tất cả thiết bị và tiêu hủy kho hàng bị ảnh hưởng sau khi xác nhận lỗ hổng, đồng thời cho biết sẽ phối hợp với các cơ quan thực thi pháp luật đa quốc gia để truy tìm bên chịu trách nhiệm.
