Хакеры обнаружили уязвимость в аппаратных биткоин-кошельках Coldcard, разработанных канадской компанией Coinkite, и к понедельнику вывели из более чем 4500 устройств примерно 1367 биткоинов на сумму около 86 миллионов долларов. Инцидент серьезно подорвал доверие к «холодному» способу хранения криптовалюты, который считался почти неуязвимым.
Взлом вскрыл дефект в самом механизме защиты, а не в привычной схеме атаки через сеть. Ниже — ключевые факты, известные на данный момент.
Главные мысли за 1 минуту
- Злоумышленники вывели примерно 1367 биткоинов из более чем 4500 кошельков Coldcard.
- Ущерб оценивается почти в 86 миллионов долларов, хотя в конце июля речь шла о 38 миллионах.
- Причина — уязвимость в генераторе сид-фраз: прошивка Coinkite создавала предсказуемые данные вместо случайных.
- Кошельки не подключены к интернету, однако дефект прошивки свел на нет эту защиту.
- Coinkite подтвердила угрозу и выпустила обновления для всех затронутых моделей.
Дефект прошивки открыл доступ к «холодным» кошелькам
По данным агентства Блумберг, специалисты инженерной команды Block Inc. установили, что проблема заключалась в генераторе чисел для сид-фраз. Прошивка, реализованная Coinkite, выдавала предсказуемые комбинации — в том числе на основе серийных номеров устройств. Такой дефект позволил злоумышленникам восстановить доступ к приватным ключам и вывести средства.
Аппаратные кошельки Coldcard позиционируются как один из самых безопасных способов хранения биткоинов, поскольку они не имеют подключения к интернету и должны быть защищены от удаленного взлома. Однако в данном случае атака была направлена не на сеть, а на сам процесс генерации ключей. Из-за этого «холодное» хранение перестало быть гарантией сохранности.
Как уязвимость связана с сид-фразами
Сид-фраза — это набор слов, который используется для восстановления доступа к криптокошельку. При создании такой фразы устройство должно полагаться на случайный генератор чисел. В прошивке Coldcard этот генератор работал некорректно: вместо непредсказуемых данных он выдавал воспроизводимые последовательности, привязанные к серийному номеру устройства.
Это позволило хакерам просчитать сид-фразы для конкретных кошельков и получить контроль над активами. К понедельнику из 4500 устройств было выведено порядка 1367 токенов, что соответствует приблизительно 86 миллионам долларов по текущему курсу. При этом в конце июля потери оценивались лишь в 38 миллионов — за выходные сумма ущерба существенно выросла.
Реакция Coinkite: обновления для затронутых моделей
Канадская компания Coinkite подтвердила, что под угрозой находятся кошельки, сид-фразы которых создавались с использованием уязвимых версий прошивки. Представители производителя заявили, что уже выпустили обновления с исправленным генератором для всех затронутых моделей. Тем не менее, пользователям рекомендуют проверить свои устройства и при необходимости перевыпустить сид-фразы, чтобы избежать дальнейших потерь.
