🔐 УЯЗВИМОСТЬ: ⚠️ Ошибка в Coldcard позволила украсть 594 BTC из аппаратных кошельков Уязвимость безопасности в определённых аппаратных кошельках Coldcard позволила злоумышленнику извлечь 594 bitcoin:native, оцениваемых примерно в $38 млн, из примерно 500 кошельков за всего 25 минут. Проблема восходит к прошивке 4.0.0, выпущенной в марте 2021 года. Согласно результатам анализа безопасности, некоторые затронутые устройства, особенно модели Mk3 с более поздними версиями этой прошивки, неправильно использовали аппаратную генерацию случайности при создании резервных семян. Вместо этого они могли использовать программный процесс генерации ключей на основе несекретных данных чипа. Это значительно снижало энтропию семян и позволяло злоумышленнику восстановить приватные ключи удалённо, без физического доступа к устройству. Злоумышленник сосредоточился на кошельках с одиночной подписью (single-signature), включая некоторые адреса, не использовавшиеся годами, и завершил изъятие средств за несколько минут, прежде чем объединить большую часть похищенных bitcoin на один адрес. Coinkite, компания, стоящая за Coldcard, опубликовала предупреждение о безопасности и рекомендовала пользователям, которые создавали свои семена на затронутых устройствах, перевести средства в новые кошельки, созданные с обновлённой прошивкой. Компания также отметила, что использование дополнительных кубиков или надёжных фраз-паролей при первоначальной настройке могло снизить уровень риска. Инцидент подчёркивает ключевой принцип безопасности аппаратных кошельков: если генерация семян сбоит, даже самые передовые защитные меры теряют большую часть своей эффективности.