Разработчики кошелька Coldcard сообщают пользователям срочно перевести свой bitcoin, подтвердив во вторник, что эксплуатация уязвимости, которая уже опустошила до $114 млн из кошельков с самостоятельным хранением, продолжается.
Пожалуйста, отнеситесь к этому срочно. Переведите свои средства», — написала компания, добавив, что угроза активна, и попросив пользователей предупредить держателей, которые «менее онлайн» и могли не увидеть оповещение. Именно эти кошельки наиболее уязвимы, поскольку исправление необходимо выполнять вручную.
Пожалуйста, отнеситесь к этому как к срочному вопросу. Переведите свои средства. Следуйте рекомендациям для вашей модели, обновите устройство, создайте новый сид-фразу и аккуратно переместите свои средства.
Помогите распространить информацию, особенно среди людей, которые меньше онлайн и могут не увидеть это обновление.
Угроза все еще продолжается. https://t.co/cbJxJles8x
Предупреждение не является предостерегающим. CoinDesk сообщил в понедельник, что в течение дня прошла возможная четвертая волна переносов, в результате которой из 709 адресов было перемещено примерно 449 BTC по пересчитанной версии Galaxy Research, а совокупные потери выросли с примерно 89 миллионов долларов до 114 миллионов долларов.
Уязвимость связана с прошивкой, которая не использовалась с 2021 года, как написало CoinDesk в пятницу, что означает, что кошельки с одним ключом, управляющим средствами без необходимости второго подтверждения, остаются под угрозой до тех пор, пока их владелец не предпримет действий.
Таким образом, риск ограничен конкретными устройствами и прошивкой. Владельцам Mk3, модели Coldcard 2019 года, следует переместить свои средства сейчас, если кошелек был настроен на прошивке 4.0.1 или более поздней.
Coinkite заявила, что исключение составляют все, кто использовал функцию кубиков устройства, при которой пользователь физически бросает кости как минимум 50 раз и вводит результаты, после чего кошелек создает ключ на основе этих чисел, а не генерирует свой собственный. Такие кошельки никогда не затрагивали бракованный код и безопасны. Владельцам Mk4, Mk5 и Q с прошивкой ниже 5.6.0 или 1.5.0Q следует обновиться, создать новый кошелек и перевести свои монеты.
Сид — это главный ключ, управляющий монетами кошелька, поэтому сид, созданный с недостаточной случайностью, может быть угадан и воссоздан злоумышленником, который затем сможет опустошить кошелек, даже не прикасаясь к устройству.
«Каждый кошелек в конечном итоге зависит от корневого секрета, сгенерированного из высококачественной энтропии», — сказал Бузон CoinDesk по электронной почте, добавив, что генерация этой энтропии «должна опираться на надежное аппаратное обеспечение с архитектурой, которая не может беззвучно переключаться на ненадежный программный источник».
Он сказал, что альтернативы хуже, назвав программные кошельки на небезопасном оборудовании еще более рискованными и отметив, что передача средств централизованной бирже — это не владение, а расписка.
Биткоин торговался около $63 800 в начале американских часов во вторник, практически без изменений после предупреждения о кошельке, согласно данным CoinDesk.