Coldcard 重大漏洞: украдено более 10 000 BTC
Друзья из криптосообщества! Всего за 25 минут пятьсот холодных кошельков в сумме лишились 594 биткоинов — это эквивалентно 38 млн долларов.
На этот раз это не фишинговая схема и не утечка seed/приватных ключей. Причина — смертельно опасный дефект в базовой прошивке Coldcard.
В уязвимость заложили задолго: еще в марте 21-го года. Одной строкой кода был выведен из строя модуль безопасной генерации случайных чисел — а seed формируется только из фиксированной последовательности серийного номера чипа плюс вычисляемое по времени значение. По сути, пароль от «сейфа» можно вычислить по номеру устройства и текущему времени, и хакер может массово взламывать приватные ключи, не имея доступа к железу.
Многие пользователи «закрыли» устройство в сейф, полностью отключили от сети и держали без дела месяцами, считая защиту максимально надежной. Но злоумышленникам не нужно контактировать с оборудованием: ключи можно удаленно вычислить и украсть активы — это полностью разбивает представление о том, что холодные кошельки абсолютно безопасны.
Дальше — еще страшнее: данные в блокчейне. После публикации адресов кражи в третьей волне украденные BTC взлетели до 1367 монет — это около 88,6 млн долларов; пострадали более 4500 адресов.
Затронут очень широкий круг моделей: под удар попали старые Mk3. А для Mk4 и Mk5 — если версия ниже 5.6.0, и для Q-серии — если версия ниже 1.5.0Q, seed, сгенерированные на этих версиях, небезопасны. Показатель безопасной энтропии упал с нормы 128 бит до 72 бит — почти по всем направлениям «всё посыпалось».
Срочное напоминание тем, кто использует Coldcard: немедленно проверьте версию прошивки! Seed, сгенерированные в старой версии, уже полностью раскрыты. Одного простого обновления прошивки недостаточно, чтобы спасти текущие активы. Нужно заново сгенерировать seed на обновленном устройстве, создать новые адреса для получения, выполнить тест небольшим переводом — и только после этого переносить все имеющиеся средства.
Руководители в индустрии прямо заявляют, что этот инцидент сильно подорвал доверие рынка к самокастодиальным кошелькам.
Не стоит больше слепо верить в «железный» кошелек как в абсолютную безопасность. Самостоятельно хранить приватные ключи — правильно, но не концентрируйте активы в одном месте. Используйте мультиподписи, храните средства раздельно на разных моделях/кошельках и рассредоточивайте устройства. Также можно выбрать хранение через соответствующие требованиям организации — в криптосообществе никогда не существовало схемы с 100% отсутствием рисков.
#BTC #比特币
Друзья из криптосообщества! Всего за 25 минут пятьсот холодных кошельков в сумме лишились 594 биткоинов — это эквивалентно 38 млн долларов.
На этот раз это не фишинговая схема и не утечка seed/приватных ключей. Причина — смертельно опасный дефект в базовой прошивке Coldcard.
В уязвимость заложили задолго: еще в марте 21-го года. Одной строкой кода был выведен из строя модуль безопасной генерации случайных чисел — а seed формируется только из фиксированной последовательности серийного номера чипа плюс вычисляемое по времени значение. По сути, пароль от «сейфа» можно вычислить по номеру устройства и текущему времени, и хакер может массово взламывать приватные ключи, не имея доступа к железу.
Многие пользователи «закрыли» устройство в сейф, полностью отключили от сети и держали без дела месяцами, считая защиту максимально надежной. Но злоумышленникам не нужно контактировать с оборудованием: ключи можно удаленно вычислить и украсть активы — это полностью разбивает представление о том, что холодные кошельки абсолютно безопасны.
Дальше — еще страшнее: данные в блокчейне. После публикации адресов кражи в третьей волне украденные BTC взлетели до 1367 монет — это около 88,6 млн долларов; пострадали более 4500 адресов.
Затронут очень широкий круг моделей: под удар попали старые Mk3. А для Mk4 и Mk5 — если версия ниже 5.6.0, и для Q-серии — если версия ниже 1.5.0Q, seed, сгенерированные на этих версиях, небезопасны. Показатель безопасной энтропии упал с нормы 128 бит до 72 бит — почти по всем направлениям «всё посыпалось».
Срочное напоминание тем, кто использует Coldcard: немедленно проверьте версию прошивки! Seed, сгенерированные в старой версии, уже полностью раскрыты. Одного простого обновления прошивки недостаточно, чтобы спасти текущие активы. Нужно заново сгенерировать seed на обновленном устройстве, создать новые адреса для получения, выполнить тест небольшим переводом — и только после этого переносить все имеющиеся средства.
Руководители в индустрии прямо заявляют, что этот инцидент сильно подорвал доверие рынка к самокастодиальным кошелькам.
Не стоит больше слепо верить в «железный» кошелек как в абсолютную безопасность. Самостоятельно хранить приватные ключи — правильно, но не концентрируйте активы в одном месте. Используйте мультиподписи, храните средства раздельно на разных моделях/кошельках и рассредоточивайте устройства. Также можно выбрать хранение через соответствующие требованиям организации — в криптосообществе никогда не существовало схемы с 100% отсутствием рисков.
#BTC #比特币
