Coinkite предупредила владельцев Coldcard Mk3: после вывода 594 BTC с 500 адресов выявлен риск для средств

Канадская Coinkite, разработчик аппаратного кошелька Coldcard, предупредила пользователей о возможном риске для биткоинов, если seed-фраза была сгенерирована на некоторых версиях прошивки. По данным компании, уязвимость затрагивает все релизы прошивки Mk3 начиная с версии 4.0.1 (март 2021 года) и связана с энтропией, которую устройство использует при создании seed. Под угрозой также seed, созданные на Mk4 и Mk5 до версии прошивки 5.6.0, а также на модели Q до версии 1.5.0Q. Coinkite отмечает, что влияние на эти модели менее выражено, но проблема остается серьезной. В компании уточнили, что в затронутых seed фактически около 72 бит энтропии вместо ожидаемых 128. По информации Coinkite, устройства TAPSIGNER, OPENDIME и SATSCARD не затронуты, поскольку используют другую кодовую базу. Пользователям, которые могут подпадать под риск, рекомендовано перевести средства на новый seed, сгенерированный на незатронутом устройстве. Владельцам Mk4 и Mk5 советуют сначала обновиться до версии 5.6.0 или новее, владельцам Q — установить 1.5.0Q или новее, а затем создавать заменяющий seed. Также рекомендуется сделать резервную копию и проверить новый seed, подтвердить на устройстве новый адрес для получения и отправить небольшую тестовую транзакцию перед переносом оставшегося баланса. Если Mk3 — единственный доступный вариант, Coinkite предлагает временно использовать сильную уникальную BIP39-парольную фразу (passphrase) и тщательно сверять fingerprint кошелька и адрес получения. Предупреждение последовало на фоне сообщений от 30 июля о списании биткоинов с кошельков Coldcard. Atlas21 сообщил, что автоматизированная операция "вымела" 500 одно-подписных адресов в четырех последовательных блоках — с 960188 по 960191. Было перемещено 1"324 UTXO на общую сумму 594,5 BTC, что по текущим ценам составляет около $38 млн. По имеющимся данным, причиной стали слабые приватные ключи, сформированные при создании кошельков. Среди пострадавших не было мультисиг-кошельков и Taproot. Медианный ущерб составил 0,41 BTC; у 110 жертв потери превысили 1 BTC. Максимальная потеря достигла 29,9 BTC. Комиссии за транзакции операции составили около 0,044 BTC. Atlas21 отмечает, что первое публичное предупреждение появилось от пострадавшего на Reddit: по его словам, 24-словная seed-фраза была сгенерирована на Coldcard в 2021 году и никогда не вводилась на компьютере. Несмотря на масштабный вывод средств, рынок не отреагировал заметным падением: биткоин продолжал торговаться вблизи отметки $64"000.