COLDCARD RNG Incident (2026) je incident zveřejněný v červenci 2026, při němž chyba softwaru oslabila vznik seedu, tajného základu pro odvození klíčů peněženky. RNG znamená generátor náhodných čísel. Pro posouzení rizika je důležité, jak seed vznikl a jaká verze firmwaru tehdy běžela. Nešlo o porušení pravidel Bitcoinu ani o vzdálené převzetí zařízení.
Coinkite a Block zveřejnily první rozbory 30. července 2026 po hlášeních ztrát. Podle výrobce útočníci nepotřebovali ovládat cizí zařízení: slabě vytvořené tajemství dokázali napodobit a získat odpovídající soukromé klíče. Ty umožňují podepisovat převody. Odpojení peněženky od internetu tedy samo nestačilo. Tento popis incidentu však neurčuje příčinu každé jednotlivé ztráty; tu nelze odvodit jen ze značky přístroje. [2] [3]
Peněženka měla používat hardwarový zdroj náhodnosti, označovaný TRNG. Po zapojení knihovny libNgU ale volání ngu.random.bytes vedlo na funkci rng_get z MicroPythonu a její softwarový generátor Yasmarang. Při sestavení programu se propojily nesprávné části. Nastavení MICROPY_HW_ENABLE_RNG mělo hodnotu 0, zatímco kontrola #ifndef zjišťovala jen existenci tohoto nastavení. Neověřovala jeho hodnotu. Správný hardwarový kód tak mohl být v souboru přítomen, ale při vzniku seedu se nepoužil. Nešlo o poruchu čipu ani o záměrný nouzový režim. [1]
Útočníkovi pomůže, pokud tajemství vybíráme z menšího počtu možností. Zde stav programu závisel na údajích zařízení, časovačích a předchozích voláních. Block u Mk4, Mk5 a Q popisuje dodatečné obnovení stavu omezené na 32 bitů: při nezměněném zbytku nejvýše 2^32 různých výstupních posloupností. Coinkite předběžně odhadovalo celkovou entropii, tedy míru nejistoty, asi na 40 bitů pro Mk2/Mk3 a 72 bitů pro novější modely. Čísla vycházejí z odlišných předpokladů. Neříkají, kolik stojí každý útok ani že lze každou peněženku okamžitě prolomit. [3] [1]
Oficiální varování uvádí Mk2/Mk3 s verzemi 4.0.1–4.1.9. První rozbor Block zahrnuje už 4.0.0 a změnu z března 2021. Prameny se tedy v počáteční hranici liší; tuto nejistotu není vhodné nahrazovat odhadem. Při nejasném původu seedu doporučuje migrační příručka postupovat jako u dotčené peněženky. Mk4/Mk5 a Q byly rovněž dotčené před opravou své větve firmwaru. Dobové tvrzení o všech produkčních verzích nelze vztahovat na pozdější opravená vydání. [2] [3] [5]
První opravené verze jsou Mk2/Mk3 4.2.0, Mk4/Mk5 Standard 5.6.0, Q Standard 1.5.0Q, Mk4/Mk5 Edge 6.6.0X a Q Edge 6.6.0QX. Standard a Edge jsou oddělené větve; větší číslo v jiné větvi samo nic nedokazuje. Při této revizi výrobce doporučuje Standard 5.6.3 pro Mk4/Mk5 a 1.5.3Q pro Q. Před instalací ověřte aktuální oficiální stránku, hash souboru a podpis vydání. Hash je otisk obsahu, podpis pomáhá ověřit jeho původ. Ani správně provedená aktualizace ale nezmění již existující seed. [4]
Představte si, že slabě vytvořený seed obnovíte na novém přístroji. Přístroj je jiný, ale tajemství zůstalo stejné. Totéž platí pro klonování a přenos peněženky. Ani hashování, výpočet otisku dat, nepřidá další možné vstupy; BIP39 Checksum zase pomáhá odhalovat chyby v zápisu, nikoli doplňovat chybějící náhodnost. Opačně platí, že bezpečně vytvořený seed z jiného zdroje se pouhým importem do COLDCARD kvůli této konkrétní chybě neoslabí. Podstatný je jeho vznik. [3] [5]
Výrobce uvádí výjimku pro nejméně 50 nezávislých hodů spravedlivou kostkou, zadaných původní funkcí Add Dice Rolls. Jejich pořadí nesmělo být zaznamenáno ani odhaleno a peněženka musela používat konečná slova po přidání hodů. Při menším počtu či nejistotě doporučuje migraci. BIP39 Passphrase je jiné opatření: doplňující tajný text, který spolu se seedem určuje další peněženku. Silná a jedinečná passphrase přidává překážku útočníkovi, ale seed neopravuje; výrobce doporučuje migraci i jejím uživatelům. PIN pouze chrání přístup k zařízení. Dnešní pravidla tvorby nových seedů nejsou touto historickou výjimkou. [2]
Nejdřív ověřte, že máte použitelnou zálohu původní peněženky. Podle migrační příručky pak na opraveném firmwaru vytvořte skutečně nový seed a ověřte jeho zálohu. Zkontrolujte fingerprint, krátký identifikátor peněženky, a přijímací adresu na displeji zařízení. Pošlete malou testovací částku; až po ověření cíle a přijetí přesuňte zbytek. Zahrňte všechny účty s prostředky, peněženky s passphrase, odvozené peněženky i multisig. Starou zálohu ponechte do potvrzení celého přesunu. Při neshodě nic neposílejte ani nemažte. Obnovovací tajemství nikdy nevkládejte do webového formuláře. [5]
Multisig vyžaduje pro převod určený počet podpisů z více klíčů. Pokud útočník získá dost klíčů ke splnění tohoto pravidla, ochrana přestane stačit. Je proto nutné posoudit zbývající klíče, připravit a na zařízení ověřit novou podpisovou sestavu a přesunout do ní prostředky. Block popisuje i další použití stejného generátoru: samostatné klíče pro Paper Wallet a některé dočasné šifrovací klíče. Dopad závisí na jejich konkrétním použití a údajích dostupných útočníkovi; není pro každou funkci stejný. [3] [5]
Stavová stránka uvádí zkoušku hardwarového generátoru na skutečném Mk4, kontrolu zdrojového kódu a nezávislé zopakování sestavení konkrétní opravy. To pomáhá ověřit popsaný mechanismus, nikoli prokázat bezpečnost každého vydaného souboru. Současný Standard navíc při tvorbě nového seedu vyžaduje vlastní příspěvek náhodnosti od uživatele. Starší doporučení, podle něhož byl vždy volitelný, proto není aktuálním návodem pro tuto větev. Stránka průběžně zaznamenává nápravu; samostatný podrobný technický rozbor příčin stále označuje za připravovaný. [4]
Aktualizovaný přístroj, původní problém
Majitel vytvořil seed na Mk3 4.1.9 bez vlastních hodů kostkou. Nainstaluje 4.2.0 a obnoví stejná slova na jiném zařízení. Tím ale stále používá původní tajemství. Řešení podle migrační příručky znamená vytvořit nový seed na opraveném firmwaru, ověřit zálohu a adresu a vyzkoušet malý převod. Teprve potom přesune zbytek prostředků. Starou zálohu zachová, dokud není celý přesun potvrzený.
Pro nejúplnější obraz čtěte toto heslo společně s Cryptographic Entropy, Deterministic RNG, Seed Generation, BIP39 checksum, BIP39 passphrase, Dice Roll Entropy.
01Stačí koupit nový přístroj?+
Ne, pokud na něm obnovíte stejný dotčený seed. Nový přístroj nezmění způsob, jakým tajemství původně vzniklo. Postup závisí na původu seedu a přesných podmínkách výjimky pro nezávislé hody kostkou. U dotčeného seedu se řeší přesun do nové peněženky, nikoli jen výměna zařízení.
02Znamená údaj 32 bitů stejně snadný útok na každý model?+
Ne. V rozboru Block se týká dodatečné změny stavu generátoru při pevném ostatním stavu a historii volání. Když útočník nezná další údaje zařízení nebo časování, jeho úloha se mění. Číslo není univerzální měření rychlosti útoku ani záruka bezpečnosti konkrétního seedu.