Уязвимость генерации seed во Coldcard ставит под угрозу 116 млн долларов в биткоинах
Сводка рынка от ИИ
Раскрытие дефекта случайности при генерации сид-фразы Coldcard подразумевает, что ~1 816 BTC (~$116m) могут быть уязвимы; сообщается, что злоумышленники выводят средства, восстанавливая сиды с низкой энтропией без доступа к устройству. Хотя это не проблема протокола Bitcoin, инцидент подрывает уверенность в самостоятельном хранении, повышает осведомлённость об операционных рисках, связанных с аппаратными кошельками и резервными копиями, и может вызвать краткосрочную осторожность среди держателей, поскольку затронутые пользователи мигрируют кошельки, несмотря на то что исправление прошивки защищает только будущие сиды.
Степень влияния
● Средний
Затронутые активы
BTC/USDT-0.22%
Инсайт ИИ · BTC/USDTИнсайт ИИ
▼ Медвежий
Торговать
⚠️ Инсайты, сгенерированные ИИ, основаны на новостном контенте и предоставляются исключительно в информационных целях. Они не являются инвестиционной рекомендацией и не отражают позицию BingX. Торговля сопряжена с риском. Пожалуйста, торгуйте ответственно.
CoinDesk сообщает: после раскрытия уязвимости в механизме генерации seed-фразы в аппаратных кошельках Coldcard под риском могут находиться около 1 816 BTC — примерно на $116 млн. Ситуация вновь обострила дискуссию о качестве источников случайности в аппаратных кошельках, способах бэкапа и безопасности самокастодиального хранения.
Как возникла проблема
Coldcard — аппаратный кошелёк только для Bitcoin, разработанный канадской компанией Coinkite. Согласно бюллетеню по безопасности, часть устройств при создании мнемонических фраз использовала некорректный источник случайности, из-за чего энтропия seed оказалась существенно ниже ожидаемой. Под ударом версии 4.0.1–4.1.9 для Coldcard Mk2 и Mk3. В Coinkite оценивают эффективную энтропию таких seed примерно в 40 бит; у некоторых устройств Mk4, Mk5 и Q — около 72 бит, при том что нормальный уровень должен составлять 128 бит.
Оценка потерь и схема атаки
TRM Labs оценивает, что злоумышленник переместил порядка 1 816 BTC более чем с 5 200 адресов. В отчёте говорится, что связанные средства прошли через четыре подозрительных перевода после 30 июля; дальнейшая статистика может измениться.
По версии TRM Labs, атакующим не требуется получать устройство или модифицировать прошивку. Достаточно восстановить seed, сформированный с пониженной энтропией, затем вывести соответствующий приватный ключ и подписать транзакции на других системах.
Coinkite выпустила исправление прошивки для затронутых моделей. Патч влияет только на seed, которые будут генерироваться в будущем; ранее созданные уязвимые мнемоники требуют миграции кошелька.
Возврат к спору о самокастодии
Основатель TEXITcoin Бобби Грей считает, что инцидент выявил не проблему безопасности Bitcoin, а чрезмерную зависимость пользователей от автоматической генерации случайных чисел устройством. Он отметил, что пользователи, которые добавляли энтропию с помощью бросков костей, не пострадали аналогичным образом. Грей также подчеркнул, что произошедшее нельзя упрощённо трактовать как доказательство того, что хранение на биржах безопаснее.
Для инвесторов из США, которым важна только ценовая экспозиция к Bitcoin, спотовые Bitcoin-ETF позволяют обойтись без мнемонических фраз и обслуживания прошивок, но риски смещаются в сторону институционального кастодиана и структуры ценных бумаг.
