⚠️ Пользователи Coldcard потеряли миллионы из-за уязвимости прошивки 2021 года Один из самых значительных инцидентов безопасности при самостоятельном хранении bitcoin раскрыл важнейший урок: аппаратные кошельки зависят в первую очередь от безопасности процесса генерации seed-фразы. Уязвимость в Coldcard, связанная с прошивками, выпущенными в 2021 году, позволила злоумышленникам извлекать средства сотен кошельков без физического доступа, фишинга или вредоносного ПО. По оценкам, было украдено от 594 до более чем 1 082 bitcoin, что соответствует потенциальным потерям в размере примерно от $38 млн до $70 млн. Атака произошла в течение короткого окна — около 25–40 минут — и была направлена на кошельки, seed-фразы которых были сгенерированы в период действия уязвимой прошивки. Многие затронутые адреса оставались неактивными годами, с деньгами, хранившимися с момента создания скомпрометированных seed-фраз. Согласно анализу блокчейна, злоумышленник, похоже, сначала нацеливался на кошельки с высокой стоимостью, включая один с примерно $1,8 млн. Затем операция перешла в автоматизированный сбор средств с дополнительных уязвимых адресов, что указывает на предварительное выявление затронутых кошельков. Причиной стала недостаточная энтропия при генерации seed-фраз на некоторых моделях Coldcard, особенно на устройствах Mk3 с использованием затронутых версий прошивки. Вместо корректного использования аппаратной случайности процесс мог генерировать предсказуемые seed-фразы, позволяющие удаленно восстановить приватные ключи. Coinkite рекомендовала потенциально затронутым пользователям перевести средства в новые кошельки, сгенерированные с использованием обновленной прошивки. Инцидент подтверждает фундаментальный принцип безопасности: если процесс генерации seed-фраза неудачен, даже такие надежные меры защиты, как изолированная среда и защищенное аппаратное обеспечение, не могут полностью защитить средства пользователей.