Уязвимость прошивки COLDCARD – четыре волны атак на $115 млн

Что произошло

К четвёртой волне скоординированных атак более 800 кошельков COLDCARD были полностью опустошены – каждый через одну и ту же уязвимость на уровне прошивки в генерации приватных ключей. По данным BeInCrypto ES, первые три подтверждённые волны унесли 1 367,05 BTC с 4 585 адресов. Четвёртая добавила 462 новые жертвы и ещё 486 BTC, сообщает DiarioBitcoin, – общие подтверждённые потери достигли $115 млн.

Реальный масштаб угрозы шире первоначальных цифр. CoinDesk сообщил, что 4 августа с кошелька, бездействовавшего 12 лет, вывели $31 млн – в рамках волны миграции, спровоцированной взломом; сразу несколько кошельков, замерших с 2013 года, вдруг стали активными. Это говорит о том, что баг энтропии затронул куда больше поколений устройств, чем следовало из первых подсчётов.

Отдельный тревожный штрих: по данным DiarioBitcoin, AI-модель Claude от Anthropic нашла корневую уязвимость всего за восемь минут, получив доступ к коду прошивки. Эта скорость подчёркивает, как долго баг оставался незамеченным в серийных устройствах.

Как работала атака

Класс уязвимости – генерация предсказуемых приватных ключей: слабый источник энтропии в генераторе случайных чисел (RNG) устройства. Приватные ключи Bitcoin должны браться из криптографически надёжного пула энтропии не менее 256 бит. Когда RNG выдаёт значения с недостаточной случайностью, сгенерированные ключи занимают лишь малую часть возможного пространства, а не распределяются по нему равномерно.

Атакующие программно перебирают это сужённое пространство, воспроизводя те же ключи, которые создаёт устройство, и выводят средства со всех адресов с балансом. Подход требует серьёзных вычислительных ресурсов, но вполне реализуем, когда целевой пул достаточно мал. Поскольку баг существует на этапе генерации ключа, воздушный зазор устройства не даёт никакой защиты. Изоляция от сети закрывает путь для сетевого взлома, но не спасает ключ, оказавшийся математически слабым с самого момента создания.

Decrypt отмечает: изолированные кошельки снижают риск удалённого взлома, но не защищены от угроз, коренящихся в самом устройстве. Джеймсон Лопп, которого цитирует DiarioBitcoin, считает: взлом обнажает практический предел принципа «не доверяй, проверяй». Большинство пользователей не могут самостоятельно проверить энтропию на уровне прошивки – и именно там жил баг.

Какие средства под угрозой

Под угрозой любые средства на кошельках, созданных уязвимыми версиями прошивки COLDCARD. Три подтверждённые волны унесли 1 367,05 BTC с 4 585 адресов; четвёртая добавила ещё 462 адреса и 486 BTC, по данным DiarioBitcoin. Шансы вернуть уже выведенные средства – практически нулевые. Транзакции Bitcoin необратимы по своей природе, а ZachXBT отказался отслеживать похищенные средства из-за отсутствия поддержки сообщества – а это один из немногих инструментов, способных дать оперативную информацию после крупной кражи.

Данные блокчейна, на которые ссылается ForkLog, показывают: держатели мигрируют оставшиеся средства на новые адреса, а не на биржи – разумный шаг, снижающий дальнейшие риски без просадки от проскальзывания. По данным Glassnode, восемь метрик блокчейна в день выхода новости вышли существенно выше двухлетней медианы, что отражает масштаб скоординированного перемещения средств.

Паника перекинулась и на тех, кто COLDCARD никогда не использовал. BeInCrypto зафиксировал репутационный удар по Ledger по ассоциации: пользователи ставят под сомнение надёжность аппаратных кошельков в целом. Взлом породил широкий кризис доверия к самостоятельному хранению – один патч прошивки его не закроет.

Повторение паттерна

Этот класс атак имеет чёткий исторический прецедент. В 2013 году критический баг в RNG Android выдавал слабую энтропию для Bitcoin-кошельков, давая атакующим возможность восстанавливать приватные ключи из подписей ECDSA. Поверхность атаки и методология в точности совпадают с ситуацией COLDCARD: RNG на уровне прошивки создаёт ключи, выглядящие корректными, но занимающие предсказуемое подмножество пространства. Разработчики выпустили экстренные патчи, но до этого значительные средства были выведены с адресов, созданных на уязвимых версиях Android.

Взлом генератора ванити-адресов Profanity в 2022 году – структурно ещё ближе. Profanity использовал 32-битный сид для генерации адресов Ethereum, и исследователи показали: всё пространство ключей можно перебрать на обычном GPU за считанные часы. Только Wintermute потеряла $160 млн с адресов, созданных этим инструментом. Урок Profanity оказался недостаточно усвоенным – и COLDCARD почти четыре года спустя воспроизвёл ту же структурную ошибку на другой сети и в другом форм-факторе.

Картину дополняет кража сидов IOTA в 2018 году. Сторонний онлайн-генератор создавал значения со слабой энтропией; атакующие, запустив тот же генератор, восстанавливали сиды жертв и опустошали кошельки, не обращаясь к сети IOTA напрямую. Во всех трёх случаях общая нить одна: генератор, предъявляющий пользователю корректный интерфейс, но проваливающийся на статистическом уровне, где и живёт реальная безопасность.

Что делать прямо сейчас

Немедленно переведите средства с любого адреса, созданного на COLDCARD, на новый адрес другого, незатронутого устройства. Используйте кошелёк с открытым исходным кодом на изолированной машине с задокументированным источником энтропии или аппаратный кошелёк другого производителя с чистой историей аудитов. Не генерируйте новые адреса на COLDCARD до выхода верифицированного патча прошивки от Coinkite и независимого подтверждения исправления RNG. Обновление прошивки не защищает ключи, уже созданные на уязвимой версии.

Многоволновый паттерн, подтверждённый BeInCrypto ES и DiarioBitcoin, показывает: атакующие непрерывно сканируют уязвимое пространство ключей, а не в один проход. Угроза активна прямо сейчас. Если ваши средства ещё целы – действуйте до следующей волны.

При миграции отправляйте средства на новый адрес для самостоятельного хранения, а не на биржу – именно так поступают опытные держатели, что подтверждает ForkLog. Создайте новый сид на устройстве с публично проверенным источником энтропии, сохраните фразу восстановления на бумаге минимум в двух физически разных местах и консолидируйте баланс в одной транзакции, чтобы не оставлять пыль.

В дальнейшем считайте возможность аудита энтропии минимальным требованием при выборе любого аппаратного кошелька. Устройство с закрытой реализацией RNG или без опубликованных независимых тестов энтропии не должно хранить значительные средства. Стандарт «не доверяй, проверяй» распространяется на генерацию ключей – а не только на подписание транзакций.

FAQ

Кошельки COLDCARD, которые ещё не опустошены, всё ещё под угрозой?

Да. Атаки продолжаются несколько дней подряд в четыре подтверждённые волны, сканирование пространства ключей, судя по всему, не останавливается. Любой кошелёк, созданный на затронутых версиях прошивки, остаётся под угрозой, пока средства не переедут на адрес, созданный другим, незатронутым устройством.

Можно ли вернуть средства, украденные в ходе взлома COLDCARD?

Нет. Транзакции Bitcoin необратимы, а ZachXBT отказался отслеживать взлом из-за отсутствия поддержки сообщества – закрыв один из немногих реальных путей к идентификации адресов атакующих.

Затрагивает ли эта уязвимость другие аппаратные кошельки, например Ledger?

Подтверждений того, что устройства Ledger разделяют тот же баг в RNG, нет. Как сообщал BeInCrypto, паника вокруг COLDCARD ударила по репутации Ledger по ассоциации, однако на данном этапе техническая уязвимость специфична именно для прошивки COLDCARD.