Черт… Этот парень потерял биткоины на $1,6 млн из своего кошелька, хотя его кошелек никогда не подключался к интернету. Его Coldcard находился внутри сейфа. Seed-фраза никогда не передавалась. Ни фишинговых ссылок, ни утечек скриншотов, ни случайных разрешений dapp… И всё равно средства были списаны. Он говорит, что уязвимость была в коде, который изначально генерировал seed-фразу. По сути, seed-фраза должна быть абсолютно случайной. Но если устройство создаёт её из меньшего, более предсказуемого набора, злоумышленникам не нужно иметь доступ к вашему кошельку или физическому устройству. Они могут просто перебирать возможные seed-фразы где-то в другом месте, пока одна из них не откроет реальный кошелёк. Таким образом, холодный кошелёк не был «взломан» позже. Ключ мог быть слабым с самого момента его создания. Это просто ужасающе, если подумать… Хранение кошелька оффлайн защищает сильный ключ от утечки, но ничего не делает, если ключ был предсказуем с первого дня. Но у меня есть для вас решение: если у вас серьёзные деньги, одна seed-фраза и одно устройство — это всё ещё одна точка отказа. Более безопасная настройка: - мультиподпись 2 из 3 - каждая seed-фраза генерируется независимо - разные производители аппаратных кошельков, где это возможно - дополнительная проверенная энтропия с помощью костей - уведомления только для просмотра для каждой исходящей транзакции При правильной мультиподписи 2 из 3 одна скомпрометированная seed-фраза всё ещё не сможет переместить средства. Также не создавайте фейковую мультиподпись, генерируя все ключи на одном устройстве или импортируя одну и ту же seed-фразу в несколько кошельков. И никогда не вводите свою seed-фразу на каком-либо сайте, который утверждает, что может проверить, подвержены ли вы риску. Итак, урок здесь не в том, что «холодное хранение не работает». Урок в том, что $1,6 млн были защищены одним ключом, и одного слабого ключа оказалось достаточно, чтобы потерять всё.