Уязвимость Coldcard Mk3 ставит под угрозу 594 BTC

Производитель аппаратных кошельков Coinkite предупредил о потенциальной уязвимости Coldcard Mk3, связанной с генерацией seed-фраз. Риск касается кошельков, где seed был создан на устройствах Mk3 с прошивкой версии 4.0.1 и выше; диапазон затрагивает версии вплоть до 5.0.3 — последнего релиза, поддерживающего модель Mk3. Поводом для предупреждения стала серия транзакций в сети Bitcoin: исследователи зафиксировали согласованное перемещение около 594,5 BTC. Монеты были выведены примерно с 500 одиночных (singlesignature) адресов. По оценке на текущих ценах речь идёт примерно о $38 млн. Наблюдатель Rob1Ham на платформе X сообщил, что движение средств прошло через блоки Bitcoin 960188–960191. Coinkite при этом не подтверждала прямую связь переводов с проблемой прошивки. По предварительным оценкам компании, новые модели — Mk4, Q и Mk5 — не затронуты. Часть специалистов по безопасности допускает, что причиной могла стать недостаточная случайность (слабая энтропия) при создании seed-фраз, однако точная первопричина остаётся предметом расследования. Биткойн-разработчик James O'Beirne призвал пользователей, у которых одиночные ключи были сгенерированы на затронутых Mk3 в период 2021–2023 годов, оперативно перевести средства. В качестве дополнительных мер он указал использование BIP39-пароля (passphrase), seed, полученных с помощью бросков игральной кости, а также мультиподписи (multisignature). Coinkite рекомендует владельцам потенциально затронутых кошельков создать новый кошелёк с сильным BIP39 passphrase и перевести средства на новый адрес, предварительно проверив резервные копии и корректность адресов. Компания отдельно подчеркнула, что поспешная миграция может создать дополнительные риски. Для опытных пользователей обозначен альтернативный вариант: создание заменяющего seed на определённой прошивке Mk3 с использованием метода diceroll — минимум 99 независимых бросков кости для получения энтропии без опоры на генератор случайных чисел устройства. Расследование продолжается: Coinkite уточняет технические причины, а блокчейн-аналитики проверяют, могут ли другие транзакции быть связаны с тем же событием. Дисклеймер: материал носит информационный характер и не является финансовой рекомендацией. CoinCryptoNewz не несёт ответственности за возможные убытки. Перед принятием финансовых решений читателям следует провести собственное исследование.