Na przełomie lipca i sierpnia doszło do poważnego ataku na sprzętowe portfele bitcoin. Problem nie dotyczył wszystkich urządzeń tego typu, a jedynie portfeli Coldcard produkowanych przez kanadyjską firmę Coinkite. Według szacunków Galaxy Research straty sięgnęły 1367 BTC o wartości około 89 milionów USD, pochodzących z ponad 4585 adresów. Uderzeni zostali przede wszystkim wieloletni holderzy, którzy przechowywali środki w portfelach single-signature.
Źródłem problemu był błąd w firmware, obecny od marca 2021 roku. Zamiast korzystać ze sprzętowego generatora prawdziwej losowości, urządzenie przez pomyłkę używało słabego, przewidywalnego generatora programowego. W efekcie seedy (frazy odzyskiwania) miały znacznie mniejszą entropię niż powinny. Złodzieje nie potrzebowali kraść urządzeń ani seed phrase ofiar. Wystarczyło, że offline wygenerowali ogromną liczbę możliwych kombinacji wynikających z działania słabego generatora i sprawdzali, które z nich odpowiadają prawdziwym adresom z pieniędzmi. Producent wydał 30 lipca oficjalne ostrzeżenie bezpieczeństwa oraz poprawione firmware, przyznając się do błędu.
Choć sama kwota kradzieży nie jest znacząca w skali całego rynku bitcoina, wywołała wyraźny efekt psychologiczny. Spadło zaufanie do sprzętowych portfeli, które wielu uważało za jeden z fundamentów bezpieczeństwa i wartości bitcoina. Dojrzałość rynku kryptowalut sugerowała, że tego typu podstawowe problemy powinny być już za nami.
