Помилка RNG у Coldcard пов'язана з викраденням близько 1 816 BTC — користувачам радять пересоздати гаманці

Coldcard випустила два оновлення безпеки та попередила, що частині користувачів потрібно заново створити гаманці й перевести Bitcoin, якщо їхні seed-фрази були згенеровані на вразливих прошивках. Що сталося Компанія опублікувала прошивку 5.6.1 для пристроїв Mk4/Mk5 та 1.5.1Q для Coldcard Q після тритижневого аудиту, який стартував після екстреного хотфікса від 31 липня. Перевірка охопила попередній збій у генерації seed, а також підписування, підключення пристрою, інсталяцію прошивки й тести випадковості. Coldcard визнала, що окремі клієнти зазнали втрат, і посилила процес створення seed, зробивши обов'язковою приватну ентропію від користувача. Хто в групі ризику Проблема стосується seed, створених на певних старіших версіях прошивок; не кожен seed Coldcard є вразливим. Уразливі діапазони: • Mk2/Mk3: seed, згенеровані на прошивках 4.0.1–4.1.9 • Mk4/Mk5: seed, створені до стандартної 5.6.0 (або Edge 6.6.0X) • Coldcard Q: seed, створені до стандартної 1.5.0Q (або Edge 6.6.0QX) Mk1 та інші продукти Coinkite (TAPSIGNER, OPENDIME, SATSCARD) використовують інше ПЗ і в це розкриття не входять. Як посилили безпеку створення seed Відтепер кожен новий seed має містити щонайменше одне джерело випадковості, внесене користувачем, у поєднанні з апаратним генератором випадкових чисел STM32 (TRNG) та двома захищеними елементами (SE1 і SE2). Варіанти користувацької ентропії: • щонайменше 65 натискань клавіш із непередбачуваними інтервалами, або • 50 приватних кидків чесного шестигранного кубика, або • 128 підкидань монети. Компанія наголошує: введені користувачем дані мають залишатися приватними — будь-хто, хто їх записав, потенційно може допомогти відтворити seed. Оновлення впливає лише на seed, згенеровані після встановлення нової прошивки; додати ентропію до вже створених seed неможливо. Що робити користувачам, яких це стосується 1) Оновити прошивку пристрою та перед інсталяцією перевірити цифровий підпис оновлення. 2) Створити та перевірити повністю новий seed за оновленою процедурою з додаванням ентропії. 3) Перевести кошти зі старого гаманця на адреси, контрольовані новим seed. Підтвердити адресу отримання на пристрої, зробити невеликий тестовий переказ, потім перевести залишок. 4) Зберігати стару резервну копію офлайн до підтвердження міграції, але не використовувати її для подальшого отримання коштів. Нотатки та винятки Coldcard зазначає: якщо власник додав щонайменше 50 чесних, незалежних і приватних кидків кубика до моменту формування фінальних слів seed, такий внесок уже забезпечував приблизно 128 біт ентропії, тож примусова міграція не потрібна. Якщо користувач не може довести, що робив це, компанія радить мігрувати. Додавання BIP39 passphrase підвищує захист, але не виправляє слабкий seed. Coldcard рекомендує замінити recovery phrase навіть у разі використання passphrase. Технічне походження та масштаби Дефект бере початок із зміни прошивки в березні 2021 року: у певних умовах пристрій міг перейти на детерміновану процедуру MicroPython для генерації seed замість використання апаратного TRNG STM32. Огляд Block оцінив ефективну ентропію приблизно у 40 біт для старіших Mk2/Mk3 та близько 72 біт для вразливих Mk4/Mk5/Q — значно нижче запланованих 128 біт, через що частину seed можна було підбирати офлайн. Дослідники пов'язують із цією вразливістю чотири ймовірні хвилі атак. За оцінками, було викрадено близько 1 816 BTC з понад 5 200 адрес (оцінки можуть змінюватися, розслідування триває). Аналітична компанія Galaxy Research передала підозрювані адреси атакувальників біржам та правоохоронним органам США. Станом на початок серпня приблизно 90% Bitcoin, переміщених під час підтверджених хвиль атак, залишалися на ідентифікованих гаманцях-одержувачах. Інші покращення прошивки • Поетапна перевірка частково підписаних транзакцій Bitcoin (PSBT) безпосередньо перед підписанням. • Зміни в обробці SIGHASH за замовчуванням, які коригують, які частини транзакції покриває підпис. • Посилення USB-меж і перевірок оновлень прошивки, краща ізоляція в Delta Mode, виправлення поведінки резервних копій, додаткові перевірки ініціалізації RNG та збоїв. Чому це важливо Інцидент підкреслює критичну роль справжньої випадковості під час генерації seed. За слабких seed зловмисник, який відновить ймовірні варіанти, може прорахувати адреси та вивести кошти без фізичного доступу, без PIN і без мережевих атак. Частина користувачів у відповідь переводила кошти на біржі або до інших кастодіанів, що переносить ризик на третіх осіб і супроводжується підвищеними припливами на біржі. Підсумок Якщо ваш seed Coldcard створено на прошивці зі списку вразливих, оновіть пристрій, згенеруйте новий seed із додаванням користувацької ентропії та мігруйте Bitcoin за рекомендованими кроками перевірки. Перед інсталяцією перевіряйте підписи прошивок і зберігайте резервні копії міграції, доки не переконаєтеся в успішному завершенні.