Co właściwie się wydarzyło?
Według przeglądu Cointelegraphu (Hodler's Digest z 2 sierpnia) na nastroje na rynku wpłynęła "obrzydliwa" strata bitcoinów z zimnego przechowywania (cold storage), czyli z portfeli offline, które powinny być najlepiej chronione przed atakami online.
Skala szkód stopniowo rosła. Firma analityczna Galaxy Research według Decryptu udokumentowała już trzecią falę kradzieży związanych z portfelami Coldcard. Suma zaobserwowanych strat wspięła się do około 1 367 BTC rozłożonych na 4 585 adresach. W przeliczeniu na dolary różne źródła podają wartości w okolicach 88 do 90 milionów dolarów (Decrypt wskazuje około 88 milionów, CoinDesk 89 milionów, Cointelegraph 90 milionów). Różnice wynikają z tego, jak liczone są straty i w którym momencie.
Kluczowe słowo to "zaobserwowane" straty. Chodzi o wolumen, który firmy analityczne zdołały prześledzić on-chain, niekoniecznie o ostateczną liczbę.
Jak zareagował rynek? Odwrotność roku 2022
Najciekawszy punkt danych przynosi CoinDesk. Według blockchainowych firm analitycznych mniejsi posiadacze bitcoina w reakcji na tę podatność zaczęli wysyłać środki z powrotem na giełdy ze względu na poczucie bezpieczeństwa.
To dokładne przeciwieństwo tego, co wydarzyło się po upadku giełdy FTX pod koniec 2022 roku. Wtedy inwestorzy masowo wycofywali monety z giełd do własnego przechowywania zgodnie z hasłem "not your keys, not your coins". Teraz, kiedy okazało się, że problem może leżeć również po stronie portfela sprzętowego, część przepływu się odwróciła.
Trzeba być precyzyjnym: źródła opisują zmianę kierunku przepływu u mniejszych posiadaczy, a nie konkretny wolumen ani to, że chodziłoby o ogólnorynkowy trend. Charliedesk nie doradza, gdzie przechowywać monety. To opis zachowania, a nie rekomendacja.
Czy to był błąd samego urządzenia Coldcard?
Tutaj na miejscu jest ostrożność. Dostępne źródła mówią o "exploicie Coldcard" i o kradzieżach związanych z tymi portfelami, ale dokładny techniczny mechanizm ataku oraz to, gdzie konkretnie powstał błąd, z podanych czterech źródeł jednoznacznie nie wynika. Dlatego nie podajemy, czy chodziło o błąd firmware, kompromitację łańcucha dostaw, socjotechnikę czy kombinację. Na razie oznaczamy to jako nieznane.
Co z tym robi regulacja? Clarity Act wisi w powietrzu
Hodler's Digest zwrócił jednocześnie uwagę na wątek legislacyjny w USA. Projekt ustawy Clarity Act według Cointelegraphu utknął w martwym punkcie, przy czym do możliwego głosowania w Senacie pozostawało w momencie publikacji pięć dni. To, czy do głosowania dojdzie i jak się zakończy, jest kwestią przyszłości, której nie przesądzamy.
A co z tym drugim raportem bezpieczeństwa wokół XRP Ledgera?
Równolegle miało miejsce odrębne, niepowiązane zdarzenie w ekosystemie XRP. Według CryptoSlate walidatorzy XRP Ledgera po cichu zablokowali "cichy" exploit, który mógł teoretycznie opróżniać konta ofiar wyłącznie poprzez opłaty transakcyjne.
RippleX według CryptoSlate spodziewa się kolejnej wersji kluczowego oprogramowania serwerowego, xrpld 3.3.0, być może już w ciągu następnego tygodnia. Wydanie ma przywrócić do procesu walidatorów przepracowane poprawki Batch i Permission Delegation po tym, jak ich poprzednika operatorzy zablokowali z powodu błędów autoryzacyjnych jeszcze przed aktywacją na mainnecie. Na 1 sierpnia najnowszą stabilną wersją wciąż była xrpld 3.2.1; oznaczenia beta i release-candidate dla 3.3.0 były publiczne, ale odliczanie większości na mainnecie dla żadnej z zastępczych poprawek jeszcze się nie zaczęło. Chodzi więc wciąż o fazę wstępną.
Co śledzić w podobnych przypadkach
- Czy zaobserwowane straty dalej rosną. Galaxy Research opisywał już trzecią falę; liczba jest bieżąca, nie ostateczna.
- Oficjalne stanowisko techniczne co do charakteru podatności (na razie z tych źródeł nie mamy jednoznacznego opisu technicznego).
- Czy zmiana przepływu na giełdy potwierdzi się również w szerszych danych, czy pozostanie zjawiskiem u mniejszych posiadaczy.
- Los Clarity Act w Senacie oraz rzeczywistą aktywację poprawek XRPL na mainnecie.
Ten tekst jest podsumowaniem tego, co na 2 sierpnia jest udokumentowane w czterech podanych źródłach. Tam, gdzie źródła milczą, milczymy również my.