שוד ביטקוין מסיבי: 38 מיליון דולר נמשכו מארנקים ב-25 דקות בלבד

שוד ביטקוין מסיבי: 38 מיליון דולר נמשכו מארנקים ב-25 דקות בלבד

תקציר: מתקפה מתואמת על כמעט 500 ארנקי חומרה הובילה לאובדן של 594 BTC. חוקרים חושדים בפגם בקושחה במכשירי Coldcard Mk3.

קהילת הקריפטו מזועזעת משוד מתוחכם שבו עשרות מיליוני דולרים נעלמו תוך דקות ספורות. במבצע מהיר שנמשך כ-25 דקות בלבד, תוקפים לא מזוהים הצליחו לנקז כ-594 BTC ממאות חשבונות נפרדים. במחירי השוק הנוכחיים, הנכסים שנגנבו מוערכים בכ-38 מיליון דולר. תקרית זו מטרידה במיוחד מכיוון שהיא כוונה נגד ארנקי חומרה, הנחשבים באופן נרחב לסטנדרט הזהב לאחסון מאובטח של נכסים דיגיטליים. אנליסטים בוחנים כעת את הבלוקצ'יין בעוד הקורבנות מתמודדים עם אובדן החזקות, שבמקרים מסוימים אוחסנו במשך שנים.

הדיוק של המתקפה מרמז על רמת מומחיות טכנית גבוהה. סך של כמעט 500 ארנקים נפגעו, רובם כתובות עם חתימה יחידה בפורמטים ישנים או SegWit. רבים מהארנקים הללו היו לא פעילים במשך זמן רב, כאשר חלקם הכילו מטבעות שלא זזו מאז 2021. היכולת של התוקפים לזהות ולנצל את החשבונות הספציפיים הללו בו-זמנית מצביעה על פגיעות שיטתית ולא על טעויות משתמש בודדות.

מספרים ועובדות

פרטי השוד מדהימים. חוקרי בלוקצ'יין גילו שהתוקף העביר למעלה מ-1,300 תפוקות עסקה שלא נוצלו (UTXOs) על פני מספר בלוקים כדי לרכז את השלל. הכספים שנגנבו נאספו בסופו של דבר לכתובת יעד אחת. ראוי לציין שהארנקים הפגועים חסרו הגנת רב-חתימה, מה שהפך אותם למטרות קלות יותר לאחר שהמפתחות הפרטיים נפגעו. למרות היקף הגניבה של 38 מיליון דולר, מחיר הביטקוין נותר יציב יחסית, מה שמרמז שהשוק הפך עמיד במידה מסוימת לחדשות על פרצות אבטחה בודדות.

Coinkite, יצרנית ארנקי החומרה Coldcard, כבר התייחסה למצב. החקירות מתמקדות כעת בסוגיית אקראיות (אנטרופיה) היסטורית שנמצאה בגרסאות קושחה מסוימות של Coldcard Mk3. אם האנטרופיה המשמשת במהלך יצירת זרע שחזור אינה מספקת, המפתחות הפרטיים שנוצרים יכולים להפוך לניתנים לחיזוי מתמטי עבור תוקפים מתוחכמים. החברה פרסמה סט של הוראות דחופות למשתמשים של מכשירים ישנים יותר.

"ייצר זרע שחזור חדש באמצעות חומרה או קושחה מעודכנים. העבר כספים לארנקים שנוצרו לאחרונה ואמת גיבויים לפני העברת נכסים." - המלצה רשמית, Coinkite

רקע

פגם האבטחה נראה משמעותי יותר ממה שנחשב בתחילה. חוקרים בודקים אם בעיית הקושחה אפשרה שחזור של מפתחות פרטיים שנוצרו בעבר. מכיוון שארנקי חומרה כמו Coldcard מתוכננים להבטיח שמפתחות פרטיים לעולם לא יעזבו את המכשיר, פגיעות כזו פוגעת בליבת הצעת הערך של המוצר. עם זאת, Coinkite הדגישה כי דגמים חדשים יותר אינם מושפעים ככל הנראה מפגם האנטרופיה הספציפי הזה. עם זאת, התקרית משמשת תזכורת חמורה לכך שגם פתרונות אחסון קר אינם חסינים מפני סיכונים מבוססי תוכנה.

מומחים מזהירים גם משתמשים להיזהר מהצעות עזרה או תמיכה לא מבוקשות. בעקבות פריצות בעלות פרופיל גבוה כזה, רמאים פורסים לעיתים קמפיינים של פישינג כדי לגנוב נכסים שנותרו ממשתמשים מבוהלים. כל מי שמשתמש ב-Coldcard Mk3 מונחה לתקשר רק דרך ערוצים רשמיים של היצרן ולעולם לא להזין את ביטויי הזרע שלו בשום אתר אינטרנט או יישום דיגיטלי.

מדוע זה חשוב לשחקנים גרמנים

עבור שחקנים גרמנים המשתמשים במטבעות קריפטוגרפיים לאבטחת זכיות מבתי קזינו מקוונים או הימורי ספורט, גניבה זו היא אזהרה חמורה. בגרמניה, הימורים מפוקחים בקפדנות על ידי צו הבין-מדינתי בנושא הימורים 2021 (GlüStV 2021). בעוד שבתי קזינו קריפטו פועלים לעיתים קרובות בשווקים אפורים לא מוסדרים שבהם נטל האבטחה נופל כולו על היחיד, מפעילי GGL מורשים מספקים רמה שונה לחלוטין של הגנה. משחק עם ספק גרמני בעל הכרה חוקית מבטיח שהפיקדונות שלך מוגנים על ידי פיקוח מדינה ומבטחים פיננסיים.

בגרמניה, מגבלת הפיקדון החודשית דרך מערכת LUGAS נקבעת על 1,000 אירו. למרות שזה עשוי להיראות מגביל עבור חלק, זה משמש כאמצעי הגנה חיוני מפני הפסדים כספיים מאסיביים. אלה שממירים את זכיותיהם לביטקוין ומאחסנים אותם בארנקי חומרה לא מאומתים, למעשה עוקפים את רשתות הבטיחות הללו. מקרה זה מוכיח שגם בעלות פיזית על מכשיר אינה מבטיחה אבטחה של 100% אם לטכנולוגיה הבסיסית יש פגם בדלת אחורית. עדיין חכם לגוון סכומים גדולים על פני מספר פתרונות אבטחה במקום להסתמך על ארנק אחד.

מה זה אומר עבור בתי קזינו מורשי GGL

בתי קזינו מורשים מדינתיים בגרמניה אינם מקבלים ישירות מטבעות קריפטוגרפיים כמו ביטקוין, שכן האנונימיות והתנודתיות הקשורות אליהם אינן תואמות את דרישות ה-GlüStV 2021. עבור מפעילי רשימת ה-GGL, תקרית זו מאשרת את תקפות הגישה המאובטחת שלהם. הם מסתמכים על ספקי תשלום מאומתים כגון PayPal, Klarna, או כרטיסי אשראי, אשר לעיתים קרובות מאפשרים עסקאות להפוך במקרי הונאה - אופציה פשוט אינה קיימת עבור ביטקוין בעקבות שוד של 38 מיליון דולר.

ה-GGL מנהל רשימה של כל הספקים החוקיים. שחקנים שנדבקים לאתרים אלו לא צריכים לדאוג לגבי פגמי קושחה או האקרים שמטרגטים את המפתחות הפרטיים שלהם. הגנת השחקן היא העדיפות העליונה כאן, כולל מגבלת יורו 1 לסיבוב על חריצי וירטואליים. בעוד שעולם הקריפטו יכול להרגיש כמו המערב הפרוע, השוק הגרמני המפוקח מספק רשת ביטחון שהופכת הפסדים קטסטרופליים עקב פגיעויות טכניות לכמעט בלתי אפשריים.