Уязвимость Coldcard позволила похитить 1"082 BTC до публичного предупреждения

Незамеченная годами ошибка в прошивке привела к одной из крупнейших краж с аппаратных биткоин-кошельков за последние месяцы. До того как производитель выпустил публичное предупреждение, злоумышленник незаметно вывел свыше 1"082 BTC (около $70 млн) более чем из 1"100 кошельков. По данным Galaxy Research, атака прошла 30 июля с 01:10 до 01:51 UTC: за 41 минуту были полностью опустошены 1"196 биткоин-адресов, всего выведено около 1"082,65 BTC. Это произошло почти за 30 часов до того, как компания Coinkite предупредила пользователей о возможной уязвимости отдельных устройств Coldcard. Исследователи считают, что устройства напрямую не взламывали. Ключи восстанавливались офлайн: злоумышленник воспользовался слабостью в механизме генерации seed-фразы (фразы восстановления) на части кошельков Coldcard. Под ударом оказались кошельки, созданные на Coldcard Mk3 с версиями прошивки 4.0.1–5.0.3, изначально выпущенными в марте 2021 года. Galaxy Research отмечает характерные признаки автоматизированного вывода средств: все транзакции выставляли одинаково необычно высокую комиссию 30 sat/vB и не содержали выходов сдачи. Это указывает на то, что приватные ключи уже были у атакующего, а дальнейшие списания выполнялись скриптом. Причина уязвимости связана с обновлением 2021 года. Обычно аппаратные кошельки формируют фразу восстановления с использованием аппаратного генератора случайных чисел, что делает подбор ключей практически невозможным. Инженеры Block выяснили, что из-за ошибки в коде на затронутых устройствах аппаратная энтропия оказалась отключена. Вместо нее использовался программный генератор псевдослучайных чисел, опиравшийся на предсказуемые данные — серийный номер устройства и внутренние часы. В результате стойкость seed-фразы на затронутых Mk3 снизилась с ожидаемых 128 бит энтропии примерно до 40 бит, что делает масштабный брутфорс реалистичным при современном уровне вычислительных ресурсов. Позднее Coinkite расширила предупреждение на отдельные версии прошивок Mk4, Mk5 и Coldcard Q: там энтропия снижалась примерно до 72 бит, хотя компания подчеркнула, что новая аппаратная архитектура заметно уменьшает общий риск. Похищенные биткоины быстро консолидировали в несколько кошельков. Исследователи выявили адрес, на котором по-прежнему хранится более 562 BTC. На других адресах остаются 398 BTC, 89 BTC и 32 BTC; после консолидации перемещений не зафиксировано. Coinkite призвала всех, кто генерировал фразу восстановления на уязвимых версиях прошивки, срочно перевести средства в новый кошелек, созданный на актуальной прошивке. Компания также указала, что пользователи, добавившие дополнительную BIP39-парольную фразу (passphrase), сталкиваются с существенно меньшим риском, поскольку этот слой защиты дополняет скомпрометированный seed. Эксперты по безопасности полагают, что злоумышленник мог заранее сгенерировать миллионы возможных ключей и затем ждать появления совпадающих кошельков в сети Bitcoin. По их оценке, дополнительные уязвимые кошельки все еще могут находиться под угрозой, если владельцы не перенесут средства.