В последние месяцы от атак хакеров и других злоумышленников пострадали сразу несколько производителей аппаратных кошельков. Многие тысячи людей, выбравших холодный способ хранения активов, либо потеряли средства, либо оказались под угрозой. Может, в 2026 году пора выбрать другой вариант сохранения биткоинов и альткоинов?
Первой от волны хакерских атак пострадали аппаратные хранилища Coldcard канадской компании Coinkite. Уже в первый день владельцы устройств лишились 1082,65 BTC на сумму свыше $70,2 млн. Всего, по разным оценкам, потери составили 1778,84 BTC до 2417,35 BTC ($115-$153 млн).
Проблема заключалась в генерации сид-фразы. По умолчанию она должна создаваться случайным образом. На деле в результате ошибки прошивки сид-фразу можно было подобрать брутфорсом (методом перебора комбинаций). Показатель длины криптографической энтропии с положенных 128 бит сократился у одной части устройств до 72 бит, а у другой и вовсе до 40 бит. Проблема источника энтропии заключалась в учете некоторых типовых данных, включая временные значения при использовании программного генератора, вместо необходимого аппаратного — в результате чего угроза для приватных ключей возросла.
Интересно, что сама уязвимость возникла очень давно — в 2021 году. Иными словами, целых пять лет злоумышленники гипотетически могли ею воспользоваться, но предприняли конкретные шаги только сейчас. Отметим, модели устройств Coldcard пострадали в разной степени. Наибольший удар пришелся на старые версии: Mk2 и Mk3.
Первой от волны хакерских атак пострадали аппаратные хранилища Coldcard канадской компании Coinkite. Уже в первый день владельцы устройств лишились 1082,65 BTC на сумму свыше $70,2 млн. Всего, по разным оценкам, потери составили 1778,84 BTC до 2417,35 BTC ($115-$153 млн).
Проблема заключалась в генерации сид-фразы. По умолчанию она должна создаваться случайным образом. На деле в результате ошибки прошивки сид-фразу можно было подобрать брутфорсом (методом перебора комбинаций). Показатель длины криптографической энтропии с положенных 128 бит сократился у одной части устройств до 72 бит, а у другой и вовсе до 40 бит. Проблема источника энтропии заключалась в учете некоторых типовых данных, включая временные значения при использовании программного генератора, вместо необходимого аппаратного — в результате чего угроза для приватных ключей возросла.
Интересно, что сама уязвимость возникла очень давно — в 2021 году. Иными словами, целых пять лет злоумышленники гипотетически могли ею воспользоваться, но предприняли конкретные шаги только сейчас. Отметим, модели устройств Coldcard пострадали в разной степени. Наибольший удар пришелся на старые версии: Mk2 и Mk3.
Последнее редактирование модератором:





