در دنیای ارزهای دیجیتال، امنیت حرف اول را می‌زند؛ اما گاهی حتی معتبرترین برندها هم می‌توانند سال‌ها یک نقص جدی را پنهان کنند. این بار، کیف پول سخت‌افزاری Coldcard با یک باگ ۵ ساله روبرو شده که به گفته رئیس امنیت صرافی Kraken، نشان‌دهنده یک شکاف بزرگ در فرآیند تست کیف پول‌های سخت‌افزاری است. باگی که می‌توانست امنیت دارایی کاربران را به خطر بیندازد، اما به دلیل یک اشتباه رایج در بازبینی، سال‌ها از دید محققان پنهان ماند.
نکته جالب اینجاست که مشکل اصلی نه در خود نرم‌افزار، بلکه در فرآیند تأیید امنیتی بود. به گفته کارشناسان، بازبین‌ها تنها بررسی کرده بودند که مولد اعداد تصادفی (RNG) مورد نظر در کد وجود دارد، اما هیچ‌کس تأیید نکرده بود که این مولد واقعاً در مسیر اصلی تولید کلید صدا زده می‌شود. این یعنی یک مهاجم می‌توانست با جایگزین کردن اعداد قابل پیش‌بینی به جای اعداد واقعاً تصادفی، کلیدهای خصوصی کاربران را حدس بزند و دارایی‌هایشان را بدزدد. خوشبختانه Coldcard این باگ را وصله کرده، اما این رخداد زنگ خطری برای کل صنعت است تا تست‌های خود را عمیق‌تر و واقع‌بینانه‌تر انجام دهند.
نظر کارشناسی: این اتفاق نشان می‌دهد که صرفاً وجود یک ویژگی امنیتی کافی نیست و باید مطمئن شد که آن ویژگی در عمل و در تمام سناریوها استفاده می‌شود. انتظار می‌رود در ماه‌های آینده، شاهد افزایش فشار از سمت جامعه کریپتو به تولیدکنندگان کیف پول‌های سخت‌افزاری برای انتشار کد منبع و انجام تست‌های مستقل و جامع‌تر باشیم. برای کاربران، این خبر یادآوری می‌کند که علاوه بر به‌روزرسانی منظم دستگاه، اعتماد به یک برند باید همراه با شفافیت و پاسخگویی آن برند در برابر آسیب‌پذیری‌ها باشد.