🛡 افشای باگ ۵ ساله در کیف پول‌های سخت‌افزاری کولدکارد (Coldcard) و سرقت گسترده بیت‌کوین

🛡 ئاشکرابوونی هەڵەیەکی ٥ ساڵە لە جزدانە ڕەقامەکانى کۆڵدکارد (Coldcard) و دزینی بەکۆمەڵی بیتکۆین

زەمینە
🔹 کەڵکوەگرتنی هاککەرەکان لە هەڵەیەکی نەرمامجێی کۆن (پەیوەندیدار بە مارس ٢٠٢١) لە جزدانە ڕەقامەکانى کۆڵدکارد (Coldcard) بەرهەمی کۆمپانیای کەنەدی کۆینکایت (Coinkite)
🔹 دەستپێکردنی شەپۆلی دزینی دوورودرێژ لە ٣٠ی ژوئیەی ٢٠٢٦ و خاڵیبوونەوەی ملیاران تمەن بیتکۆین لە هەزاران ناونیشانی سەیری سارد (Cold Storage)

تەرکیز
📌 هۆکاری لاوازی: هەڵە لە پرۆسەی دروستکردنی دەستەواژەکانی گەڕاندنەوە (Seed)؛ سیستەم بەجێگەی بەکارهێنانی چیپی ڕەقامەیی بۆ دروستکردنی ژمارە هەڕەمەکییەکان، پەنای بۆ ئەلگۆریتمێکی نەرمامجێی لاواز دەبرد.
📌 دابەزینی توندی ئەنترۆپی (ئاسایشی کلیلەکان): توانی ئاسایشی کلیلە تایبەتییە دروستکراوەکان لە ١٢٨ بیت بۆ نزیکەی ٤٠ بیت دابەزی؛ ئەمەش دەرفەتی خەمڵاندن و هێرشی بروت‌فۆرس (Brute-force) بێ پێویستی بە دەستگەیشتنی فیزیایی بە ئامێرەکە ڕەخساند.
📌 قەبارەی زیان: دزینی زیاتر لە ١,٨٠٠ بیتکۆین (بەرامبەر ١١٦ بۆ زیاتر لە ١٤٠ ملیۆن دۆلار) لە زیاتر لە ٥,٢۰۰ ناونیشان تاوەکو ئێستا.
📌 سنورداربوونی نوێکردنەوە: نوێکردنەوەی فیرم‌ور (Firmware) تەنها بۆ دروستکردنی جزدانی نوێ کاریگەرە و ئەو هەژمارانەی کە دەستەواژەی گەڕاندنەوەکەیان پێشتر بە ڤێرژنی لاواز دروستکراوە، هێشتا لە مەترسیدا دەمێننەوە.

دەرئەنجامەکان
⚡️ شکستی گریمانەی بێزیانی پاشەکەوتی سارد: دروستبوونی شەپۆلی نیگەرانی لەناو خاوەنە درێژخایەنەکانی بیتکۆین و گواستنەوەی زیاتر لە ١٥ ملیار دۆلار بیتکۆین بۆ ناونیشانی سەلامەتتر یان پێکهاتەی فرە واژۆ (Multi-sig).
⚡️ پێویستی بەپەلە بە هەنگاوی بەکارهێنەران: هەموو ئەو بەکارهێنەرانەی کە دەستەواژەی گەڕاندنەوەی خۆیان لە نێوان مارس ٢٠٢١ تاوەکو بڵاوکردنەوەی پەچەی ئاسایش لەسەر ئامێرەکانی کۆڵدکارد دروستکردووە، دەبێت بە خێرایی سەروەت و سامانی خۆیان بۆ دەستەواژەیەکی گەڕاندنەوەی نوێ و سەلامەت بگوازنەوە.

کۆتایی
🎯 لاوازی کۆڵدکارد بیرخستنەوەی ئەو ڕاستییەیە کە هیچ ئامێرێک سەد لە سەد لە بەرامبەر هەڵە نەرمامجێکاندا پارێزراو نییە. بۆ بەرزترین ئاسایشی سەروەت و سامانی گەورە، بەکارهێنانی چارەسەرەکانی فرە واژۆ (Multi-sig) لەگەڵ ئامێرە ڕەقامە جیاوازەکان، باشترین جێگرەوەیە بۆ پشت بەستن بە یەک ئامێر.

#کۆڵدکارد #Coldcard #جزدانی_ڕەقامەیی #ئاسایشی_کریپتۆ #بیتکۆین #هاک

🛡 Disclosure of 5-Year-Old Bug in Coldcard Hardware Wallets and Massive Bitcoin Theft

Background
🔹 Hackers exploiting an old software bug (dating back to March 2021) in Coldcard hardware wallets manufactured by the Canadian company Coinkite
🔹 The start of a wave of remote thefts on July 30, 2026, draining billions of tomans worth of Bitcoin from thousands of Cold Storage addresses

Focus
📌 Cause of vulnerability: An error in the seed phrase generation process; instead of using a hardware random number generator chip, the system resorted to a weak software algorithm.
📌 Severe entropy drop (key security): The cryptographic strength of generated private keys dropped from 128 bits to about 40 bits; making guessing and brute-force attacks possible without physical access to the device.
📌 Extent of damage: Over 1,800 Bitcoin stolen (equivalent to $116 to over $140 million) from more than 5,200 addresses so far.
📌 Update limitation: Firmware updates are only effective for creating new wallets, and accounts whose seed phrases were previously generated with the vulnerable version remain at risk.

Consequences
⚡️ Shattering the invulnerability myth of cold storage: Creating a wave of concern among long-term Bitcoin holders and the transfer of over $15 billion in Bitcoin to safer addresses or Multi-sig structures.
⚡️ Urgent need for user action: All users who generated their seed phrases between March 2021 and the release of the security patch on Coldcard devices must immediately transfer their assets to a new and secure seed phrase.

Conclusion
🎯 The Coldcard vulnerability is a reminder that no device is 100% immune to software bugs. For maximum security of large assets, using Multi-sig solutions with disparate hardware devices is the best alternative to single-device reliance.

#Coldcard #Coldcard #Hardware_Wallet #Crypto_Security #Bitcoin #Hack