Взлом Coldcard выявил пятилетнюю уязвимость прошивки: украдено биткоинов более чем на $100 млн

Гендиректор Swan Cory Klippsten узнал о происходящем на свадьбе в Париже: в его телефон начали приходить сообщения о массовых кражах биткоина. В интервью он назвал тот уик-энд "жестоким" для тех, кто потерял монеты, и рассказал, что в четверг рассылал сообщения в 4 утра, помогая пользователю на Тихоокеанском времени вывести средства в безопасное место. Именно тогда злоумышленники начали выводить биткоины с тысяч аппаратных кошельков Coldcard, воспользовавшись уязвимостью в прошивке, которая оставалась незамеченной пять лет. По данным, дефект затрагивал обновление прошивки от марта 2021 года для кошелька производства Coinkite и приводил к тому, что приватные ключи пользователей оказывались менее защищены, чем должны были быть. По оценке Galaxy Research, после трех волн атак было похищено почти 1 600 BTC стоимостью более $100 млн. Средства были выведены примерно с 7 300 адресов. Swan — американская платформа, помогающая частным инвесторам покупать, хранить и самостоятельно держать биткоин — приостановила вывод средств для клиентов из группы риска, разослала предупреждения в приложении и запустила поддержку миграции, расширив ее и на людей вне своей клиентской базы. По словам Klippsten, команда "отложила все", чтобы обзванивать клиентов, а затем открыла помощь "для всех, кому она нужна, независимо от того, был ли человек клиентом Swan". Спустя неделю около 90% украденных монет по-прежнему остаются неподвижными в блокчейне. Подтвержденные адреса атакующих переданы федеральным правоохранительным органам США. Компания Coinkite из Торонто выпустила исправления для всех затронутых линеек устройств. Добровольная команда, финансируемая OpenSats, проверила более 150 репозиториев с открытым исходным кодом и не нашла признаков того, что проблема выходит за пределы Coldcard. Инцидент заставил часть индустрии вновь обсуждать риски самостоятельного хранения (self-custody). На этом фоне звучат рекомендации рассмотреть покупку биткоина через биржевые фонды, а не через собственное хранение. Klippsten не согласен с тезисом об отступлении от self-custody: по его словам, клиенты скорее ищут способы усложнить доступ к своим средствам. "Сейчас люди переходят в Swan Vault", отметил он, имея в виду совместный мультиподписной продукт компании, где ни одно устройство не может единолично поставить средства пользователя под угрозу. "Вместо отказа от self-custody многие его усиливают". Оценка недели у Klippsten — сдержанный оптимизм: потеря монет стала трагедией для людей, которые, по его словам, "сделали все правильно", следуя рекомендациям известных участников рынка. При этом он считает, что биткоин "антихрупок", а инструменты безопасности становятся сильнее практически каждый час. По его мнению, случившееся еще может оказаться "лучшим, что когда-либо происходило" с самостоятельным хранением.