یک نقص امنیتی در نحوه تولید کلیدهای خصوصی کیفپولهای سختافزاری Coldcard، به سرقت حدود ۵۹۴ بیتکوین منجر شد. مهاجمان سایبری موفق شدند در یک بازهی زمانی کوتاه ۲۵ دقیقهای در روز جمعه، داراییهای موجود در حدود ۵۰۰ کیفپول سختافزاری مجزا را تخلیه کنند. این حمله ناشی از یک نقص فنی در نرمافزار داخلی دستگاههای Coldcard بود که وظیفهی تولید کلیدهای امنیتی را بر عهده دارد. سارقان در جریان این عملیات، ۱,۳۲۴ بخش از بیتکوینها را طی ۵۰۰ تراکنش در قالب سه بلاک شبکه جابهجا کردند. در نهایت، ۵۶۲ بیتکوین از این داراییهای سرقتشده در یک آدرس واحد تجمیع شد که از آن زمان تاکنون هیچ حرکتی نداشته است. تمامی کیفپولهای آسیبدیده از نوع تکامضایی بودند و هر کدام بیش از ۰٫۱۵ بیتکوین موجودی داشتند که بسیاری از آنها برای سالها بدون فعالیت رها شده بودند. دستگاههای Coldcard که توسط شرکت کانادایی Coinkite ساخته میشوند، ابزارهای سختافزاری کوچکی هستند که کلیدهای بیتکوین را به صورت آفلاین و به دور از کامپیوترهای متصل به اینترنت نگهداری میکنند. بررسیهای تیمهای مهندسی و امنیت بیتکوین در مجموعه Block نشان میدهد که نرمافزار داخلی این دستگاهها به دلیل یک خطای برنامهنویسی، مولد سختافزاری اعداد تصادفی خود را نادیده گرفته و به یک جایگزین نرمافزاری ساده متکی شده است. این جایگزین نرمافزاری از شمارهسریال دستگاه و ثباتهای ساعت سختافزاری استفاده میکرد که هیچکدام اطلاعات محرمانهای به شمار نمیروند. شرکت Coinkite به کاربرانی که کلیدهای امنیتی خود را روی نسخه Mk3 با سفتافزار ۴٫۰٫۱ یا نسخههای جدیدتر ساختهاند، هشدار داده است. این تولیدکننده اعلام کرد که بر اساس تحلیلهای اولیه، نسخههای Mk4، Q و Mk5 تحت تاثیر آسیبپذیری قرار ندارند. دامنهی این نقص امنیتی فراتر از کلیدهای اصلی رفته و کلیدهای خصوصی کیفپولهای کاغذی، ماسکهای تقسیم کلید و کلیدهای شبیهسازی دستگاه را نیز شامل میشود.
