Coinkite, канадская компания, стоящая за аппаратным кошельком Coldcard, предупредила пользователей, что средства bitcoin могут быть под угрозой, если их seed-фраза была сгенерирована на определенных затронутых версиях прошивки.
Компания заявила, что проблема затрагивает все версии прошивки Mk3 начиная с версии 4.0.1, выпущенной в марте 2021 года, и связана с энтропией, генерируемой устройством при создании семян.
Средства все еще под угрозой
Семена, сгенерированные на Mk4 и Mk5 до версии прошивки 5.6.0, и на Q до версии 1.5.0Q, также затронуты, хотя Coinkite said, что влияние на эти модели менее серьезно, но остается значительным. Согласно компании, затронутые семена имеют около 72 бит энтропии вместо ожидаемых 128 бит. Согласно обновлению, TAPSIGNER, OPENDIME и SATSCARD не затронуты, поскольку используют другие кодовые базы.
Coinkite призвала пользователей с затронутыми устройствами перенести свои средства на ново сгенерированный seed на незатронутом устройстве. Компания сообщила, что пользователи Mk4 и Mk5 должны сначала обновиться до прошивки версии 5.6.0 или более поздней, а пользователи Q — установить версию 1.5.0Q или более позднюю, прежде чем генерировать заменяющий seed.
Пользователям также рекомендовали создать резервную копию и проверить новый seed, подтвердить новый адрес получения на устройстве и отправить небольшую тестовую транзакцию перед перемещением оставшихся средств. Если Mk3 — единственный доступный вариант, рекомендуется временно использовать надежный, уникальный BIP-39 пароль и тщательно проверить отпечаток кошелька и адрес получения.
Крупномасштабная кража
Рекомендация появилась после того, как 30 июля поступило несколько сообщений о том, что биткоины были изъяты из кошельков Coldcard. Atlas21 сообщила, что автоматизированная операция swept 500 адресов с одиночной подписью в четырех последовательных блоках — с 960188 по 960191. В ходе транзакций было перемещено 1 324 UTXO на общую сумму 594,5 BTC, что составляет около 38 миллионов долларов по текущим ценам. Данные указывают на слабые закрытые ключи, сгенерированные при создании кошельков.
Среди жертв не было кошельков с мультиподписью или Taproot were.
Средний ущерб составил 0,41 BTC, при этом 110 жертв потеряли более одного биткоина. Наибольший ущерб составил 29,9 единиц криптовалюты, а стоимость операции составила около 0,044 единиц в виде комиссий за транзакции. Atlas21 сообщил, что первое общественное предупреждение поступило от жертвы на Reddit, которая заявила, что её Coldcard сгенерировал 24-словную seed-фразу в 2021 году и что эта seed-фраза никогда не вводилась на компьютер.
Несмотря на значительный отток, цена bitcoin осталась неизменной, так как она продолжала торговаться около $64 000.
Пост Coldcard Mk3 Users Warned of Risk After 594 BTC Swept From 500 Addresses появился первым на CryptoPotato.