Galaxy: из-за ошибки RNG в Coldcard похищено не менее 1/596 BTC, потери могут вырасти до ~$130 млн

Galaxy Research сообщила, что уязвимость в аппаратных кошельках Coldcard уже привела к кражам как минимум 1/596 BTC. Если подтвердится предполагаемая "четвёртая волна" атак, совокупный ущерб может увеличиться примерно до 2/055 BTC, что соответствует порядка $130 млн. По данным Galaxy, в трёх подтверждённых волнах злоумышленники вывели 1/596 BTC примерно с 7/300 адресов, также зафиксированы 14 меньших связанных эпизодов. Активность, которую исследователи относят к возможной четвёртой волне, пока не включена в подтверждённую статистику: компания ждёт заявлений пострадавших, чтобы сопоставить их с ончейн-сигналами. При отнесении этой активности к тому же эксплойту общий объём потерь составит около 2/055 BTC. Как получены оценки Ончейн-картирование Galaxy позволило выделить 1/596 BTC по трём подтверждённым волнам. Ранее более широкий, основанный только на блокчейн-данных срез оценивал движение средств по четырём волнам примерно в 1/815,75 BTC, но затем оценка по подтверждённым случаям была уточнена. По предполагаемой четвёртой волне аналитики 3 августа отметили транзакционные паттерны, схожие с предыдущими атаками; текущая оценка для этой волны составляет около 448,7 BTC и 709 потенциальных адресов жертв. В Galaxy подчёркивают, что одних данных блокчейна недостаточно, чтобы подтвердить каждую жертву или однозначно установить, что все кражи совершил один оператор. При этом наблюдаемая активность указывает, что предполагаемая четвёртая волна "в значительной степени" связана с одним атакующим. Galaxy оценивает уверенность в этом выводе как средне-высокую, ожидая прямых подтверждений. Суть уязвимости Производитель Coldcard, компания Coinkite, на прошлой неделе раскрыла причину проблемы и связала её с изменением прошивки от марта 2021 года. При интеграции новой криптографической библиотеки путь генерации сид-фразы (seed) ошибочно переключился на детерминированный псевдослучайный генератор MicroPython вместо аппаратного истинного генератора случайных чисел (RNG). Поскольку аппаратный RNG продолжал использоваться в других частях прошивки, поверхностные внутренние проверки не выявили подмену источника энтропии. Независимая проверка Команда по инженерии и безопасности Bitcoin в Block провела независимый анализ прошивки и пришла к тому же выводу: уязвимые версии создавали seed через детерминированный fallback MicroPython, а не через аппаратный RNG STM32. Coinkite оценивает, что эффективная энтропия на затронутых устройствах значительно ниже целевого уровня: около 40 бит для части Mk2/Mk3 и примерно 72 бита для уязвимых Mk4/Mk5 и моделей Coldcard Q при целевом значении 128 бит. Поведение атакующих и статус расследования Galaxy отмечает, что большая часть похищенных средств распределялась по множеству новых адресов, а не собиралась в одном кошельке; часть средств затем проходила через транзакции "второго шага", усложняющие трассировку. В период предполагаемой четвёртой волны интенсивность атак, по наблюдениям Galaxy, подскакивала до примерно 13,8 "свипов" кошельков на блок Bitcoin по сравнению с около 0,3 свипа на блок ранее. Около 90% украденных BTC остаются неподвижными в блокчейне. Монеты, похищенные в первых трёх подтверждённых волнах, с момента кражи не перемещались, что даёт следствию время для мониторинга и реагирования. Galaxy сотрудничает с федеральными правоохранительными органами США, криптобиржами и группами по киберрасследованиям, передавая подтверждённые адреса атакующих и жертв по мере расширения расследования. Компания предупреждает, что другие злоумышленники могут попытаться использовать ту же уязвимость, пока затронутые кошельки продолжают применяться. Поэтому критически важно идентифицировать адреса под контролем атакующих, чтобы биржи и органы могли оперативно действовать в случае движения средств. Рекомендации пользователям Galaxy и Coinkite советуют владельцам Coldcard перевести средства с любых кошельков, созданных на уязвимой прошивке, на новые безопасные адреса, а новые сид-фразы генерировать только после установки исправленной версии. Coinkite выпустила экстренные обновления для всех затронутых моделей (в частности, v4.2.0 для Mk2/Mk3, v5.6.0 для Mk4/Mk5 и v1.5.0Q для Coldcard Q) и заявила об уничтожении оставшихся запасов устройств с уязвимой прошивкой. Важные оговорки Coinkite Обновление защищает только кошельки, созданные после установки исправления; уже существующие seed, сгенерированные на уязвимых версиях, остаются скомпрометированными и требуют замены. Coinkite рекомендует создать полностью новый seed на обновлённом устройстве, проверить адрес для получения средств, выполнить небольшой тестовый перевод и переносить весь баланс только после успешного теста. Кошельки, созданные с использованием как минимум 50 честных бросков игральных костей для приватных данных, не уязвимы к этой проблеме RNG в одиночку. Надёжная BIP39 passphrase даёт дополнительную защиту, но Coinkite всё равно советует миграцию, поскольку исходный материал seed остаётся слабым. Дополнительные замечания по восстановлению Galaxy ранее указывала, что при обнаружении неподтверждённой транзакции кражи у пользователя может быть узкое окно, чтобы попытаться заменить её через механизм Replace-by-Fee (RBF). Эта возможность действует только до включения исходной транзакции в блок и не гарантирует возврат средств. Итог Случай с Coldcard показывает, что ошибка на уровне прошивки способна подорвать безопасность аппаратного кошелька. Владельцам устройств рекомендуется проверить версию прошивки, считать seed, созданные на уязвимых версиях, скомпрометированными, установить патчи Coinkite и переносить средства только после выполнения рекомендованного чек-листа миграции. Galaxy продолжает ончейн-картирование и работу с правоохранительными органами, чтобы отслеживать адреса атакующих и снизить риск дальнейших потерь.