В конце прошлой недели Coinkite предупредила пользователей о критической уязвимости в аппаратных кошельках Coldcard, затрагивающей генерацию сид-фраз.

Уязвимость и масштаб

Coinkite сообщила, что ошибка в генераторе случайных чисел устройства подорвала процесс создания сид-фраз и приватных ключей.

В результате злоумышленники смогли восстановить приватные ключи пользователей и получить доступ к средствам без взаимодействия с устройствами через интернет.

Масштаб кражи

По данным аналитиков Galaxy Research, к понедельнику злоумышленники опустошили около 5000 кошельков и вывели 1755 биткоинов, превысив $110 миллионов.

Группа исследователей также отметила, что операция оставалась активной на момент сообщения, и возможны дополнительные потери, если устройства не будут исправлены.

Почему холодное хранение не помогло

Холодное хранение обычно защищает ключи тем, что держит их в офлайне, но этот инцидент показывает, что скомпрометированная криптографическая энтропия сводит на нет эту офлайн-изоляцию.

Когда сама генерация ключей предсказуема или содержит ошибки, физическая безопасность устройства не предотвращает восстановление приватных ключей злоумышленниками.

Рекомендации для пользователей

Coinkite рекомендовала владельцам Coldcard следовать её шагам по устранению, включая генерацию новых сид-фраз с помощью запатченного или альтернативного оборудования и оперативный перенос средств.

Пользователям настоятельно рекомендуется проверять инструкции от Coinkite перед переводом средств и избегать повторного использования потенциально скомпрометированных сидов или устройств.