Збій у генерації seed на Coldcard: під ризиком 2 055 BTC, збитки оцінюють у $130 млн на 7 700 адрес

Аналітики Galaxy Research, на яких посилається Lookonchain, оцінили сукупні втрати, пов'язані з компрометацією гаманців Coldcard, приблизно у 2 055 BTC (близько $130 млн). За їхніми даними, постраждали понад 7 700 адрес. Оцінка з'явилася на тлі повідомлень про кілька ймовірних хвиль "sweep"-транзакцій ончейн, які пов'язують із вразливістю генерації seed у пристроях канадської Coinkite. Йдеться про помилку у прошивці, через яку генерація seed могла використовувати детермінований програмний псевдовипадковий генератор (PRNG) замість апаратного генератора випадкових чисел STM32 (RNG). Збій виник під час інтеграційних змін у березні 2021 року: у production-конфігурації макрос hardwareRNG був заданий як нуль, а бібліотека libngu перевіряла наявність макроса, а не те, чи він увімкнений. У результаті збірка прив'язувалася до резервного механізму MicroPython Yasmarang. Як уточнює Block, цей fallback ініціалізувався з унікальних ідентифікаторів чипа та регістрів таймера і після старту не збирав нову ентропію. За таких умов зловмисник, який може визначити або суттєво обмежити значення UID пристрою, стан таймера та історію попередніх викликів RNG, здатен відтворювати потоки PRNG офлайн, підбирати кандидатні ключі, виводити адреси та звіряти їх із публічними даними блокчейна. 31 липня 2026 року Coldcard опублікував термінове попередження: власникам Mk3 із seed, згенерованим на версії 4.0.1+ без щонайменше 50 приватних незалежних кидків кубика, рекомендують розпочати обережну міграцію. Для Mk4/Mk5 з прошивкою нижче 5.6.0 або моделі Q нижче 1.5.0Q радять спочатку оновитися, згенерувати новий seed і лише потім переносити кошти. Coinkite оцінила ефективну ентропію уражених seed приблизно у 40 біт для Mk3 і близько 72 біт для Mk4, Mk5 та Q. Для порівняння, 12-слівний seed BIP39 відповідає 128 бітам. Вартість практичного відтворення seed залежить від доступності UID-даних, таймінгу завантаження, історії викликів RNG та обчислювальних витрат на деривацію, зазначає Block. Coinkite випустила аварійні версії прошивок для уражених моделей і гілок релізів 31 липня. Водночас встановлення оновлення не "виправляє" вже згенерований слабкий seed. Компанія рекомендує власникам, чиї seed могли бути під ризиком, створити новий seed на пропатченій прошивці та перевести монети; відновлення старого seed зберігає слабкість. Ончейн-аналіз підозрюваних хвиль "sweep" вказує, що перша хвиля 30 липня за 41 хвилину вивела 1 082,65 BTC з 1 196 адрес, у середньому майже 1 BTC на адресу. Подальше відстеження, про яке писав CoinDesk, зафіксувало третю ймовірну хвилю: близько 208 BTC було виведено з 1 912 адрес, тобто трохи більше 0,1 BTC на жертву. У цій пізнішій хвилі транзакції групували в середньому шість жертв за один sweep, відправляли кошти кожної жертви на окрему адресу призначення та використовували виходи pay-to-witness-script-hash (P2WSH) замість простіших одно-ключових виходів, характерних для ранніх хвиль. Galaxy Research заявила, що вважає кожну хвилю внутрішньо узгодженою роботою одного оператора, але наголосила: лише за ончейн-даними неможливо підтвердити, що всі три хвилі здійснив один і той самий зловмисник. Також компанія не виконувала повного обчислювального підтвердження, що кожна з ідентифікованих адрес була згенерована саме зі слабкою ентропією Coldcard. Galaxy повідомила приблизно 600 підозрюваних адрес, підконтрольних атакувальнику, федеральним слідчим, комплаєнс-провайдерам і фахівцям з кібербезпеки.