Користувачів Coldcard Mk3 попередили про ризик: з 500 адрес вивели 594 BTC

Канадська Coinkite, виробник апаратного гаманця Coldcard, попередила, що біткоїн-кошти можуть опинитися під загрозою, якщо сид-фразу було згенеровано на певних версіях прошивки. За даними компанії, проблема стосується всіх релізів прошивки Mk3, починаючи з версії 4.0.1, випущеної у березні 2021 року, і пов'язана з ентропією, згенерованою самим пристроєм під час створення сідів. Coinkite також зазначила, що під ризиком можуть бути сиди, згенеровані на Mk4 та Mk5 до прошивки 5.6.0, а також на моделі Q до версії 1.5.0Q. Компанія підкреслила: вплив на ці моделі менш виражений, але залишається серйозним. Згідно з оновленням, у вразливих сідів близько 72 біт ентропії замість очікуваних 128 біт. Пристрої TAPSIGNER, OPENDIME та SATSCARD не зачеплені, оскільки використовують інші кодові бази. Власникам уражених пристроїв рекомендують перенести кошти на новий сид, згенерований на невразливому девайсі. Для Mk4 і Mk5 Coinkite радить спершу оновитися до прошивки 5.6.0 або новішої, а користувачам Q — встановити 1.5.0Q або новішу, після чого створити замінний сид. Також радять зробити резервну копію та перевірку нового сіду, підтвердити на пристрої нову адресу для отримання та перед переказом основної суми надіслати невелику тестову транзакцію. Якщо єдиний доступний варіант — Mk3, компанія пропонує тимчасово використовувати сильну унікальну BIP39-парольну фразу та ретельно перевіряти відбиток (fingerprint) гаманця і адресу для отримання. Попередження з'явилося після повідомлень від 30 липня про списання біткоїнів із гаманців Coldcard. Atlas21 повідомив, що автоматизована операція "змітала" 500 одно-підписних адрес у чотирьох послідовних блоках — з 960188 по 960191. У транзакціях було переміщено 1 324 UTXO загальним обсягом 594,5 BTC — приблизно на $38 млн за поточними цінами. Ознаки вказують на слабкі приватні ключі, згенеровані під час створення гаманців. Серед постраждалих не було ні multisig, ні Taproot-гаманців. Медіанна втрата становила 0,41 BTC; у 110 жертв зникло понад 1 BTC. Найбільша втрата — 29,9 BTC, а витрати операції на комісії сягнули близько 0,044 BTC. За даними Atlas21, перше публічне застереження надійшло від постраждалого на Reddit: він повідомив, що його Coldcard згенерував 24-слівну сид-фразу у 2021 році, і її ніколи не вводили на комп'ютері. Попри масштабне списання, ринок відреагував стримано: біткоїн продовжував торгуватися поблизу $64 000. Матеріал "Coldcard Mk3 Users Warned of Risk After 594 BTC Swept From 500 Addresses" уперше опублікував CryptoPotato.