Уязвимость Coldcard могла привести к потере биткоинов на $70 млн

Galaxy Research в пятницу сообщила, что с почти 1 200 адресов было перемещено свыше 1 000 BTC на сумму около $70 млн. По оценке исследователей, эти транзакции могут быть связаны с уязвимостью, затрагивающей аппаратные кошельки Coldcard. Производитель Coinkite в четверг предупредил о продолжающейся проблеме с seed-фразами, сгенерированными устройствами Coldcard Mk3. В компании уточнили, что под риском могут находиться средства пользователей, которые создавали seed-фразы на Mk3 с прошивкой версии 4.0.1 (релиз — март 2021 года) или более поздней. Позднее Coinkite расширила предупреждение на отдельные версии прошивок для Mk4, Mk5 и Coldcard Q и выпустила экстренные обновления для всех затронутых моделей. Генеральный директор Coinkite Родольфо Новак (NVK) в пятницу принес извинения и заявил, что компания полностью берет на себя ответственность за уязвимость в прошивке. Почему это важно: уязвимости прошивки кошельков подрывают доверие к само-хранению, когда сбой в генерации seed-фраз создает прямой риск потери средств. Настроения рынка: медвежьи, напряженные, событийно обусловленные, страх. Причина: сообщения о перемещении более 1 000 BTC, предположительно связанном с уязвимостью Coldcard, усиливают давление на владельцев биткоина из-за прямых рисков хранения. Похожие случаи: в июне 2023 года пользователи Atomic Wallet потеряли более $35 млн в криптоактивах после масштабного компрометации кошелька, что сместило фокус рынка в сторону аудитов безопасности и отслеживания средств (Fortune). Отличие: в ситуации с Atomic Wallet речь шла о сервисе программного кошелька, тогда как текущий случай касается прошивки аппаратного кошелька и генерации seed-фраз. Эффект распространения: слабая генерация seed-фраз способна превратить само-хранение в канал коррелированных потерь среди пользователей, полагавшихся на одну и ту же прошивку. При появлении новых затронутых версий или дополнительных перемещений BTC переоценка рисков может выйти за пределы одного продукта и затронуть доверие к аппаратным кошелькам в целом. Возможности и риски. Возможности: если экстренные обновления прошивки сократят новые связанные перемещения средств, инцидент можно будет рассматривать как более локализованный, а пользователям — ориентироваться на подтвержденные инструкции по затронутым устройствам. Риски: если Coinkite снова расширит перечень затронутых версий, снижение экспозиции к уязвимым кошелькам и перевод средств в подтвержденно безопасное хранилище могут ограничить операционные риски.