⚠️ Пользователи Coldcard потеряли миллионы из-за уязвимости прошивки 2021 года Один из наиболее значимых инцидентов безопасности в области самохранения bitcoin продемонстрировал ключевой урок: защита аппаратного кошелька в первую очередь зависит от безопасности, с которой генерируются семена. Уязвимость, связанная с версиями прошивки Coldcard, выпущенными в 2021 году, позволила злоумышленникам извлекать средства из сотен кошельков без физического доступа к устройствам, без фишинга и без вредоносного ПО. Согласно оценкам, было похищено от 594 bitcoin:native и более 1 082 BTC, что эквивалентно примерно от $38 млн до $70 млн. Атака была осуществлена в узком окне времени от 25 до 40 минут и затронула кошельки, чьи семены были сгенерированы в уязвимый период. Многие из скомпрометированных адресов не использовались годами, а средства хранились с момента создания этих семян. Согласно анализу on-chain, злоумышленник сначала нацелился на кошельки с наибольшими балансами, включая один с примерно $1,8 млн. Затем он расширил атаку с помощью автоматизированного процесса, позволившего извлечь средства с других уязвимых адресов, что указывает на предварительное определение затронутых кошельков. Технической причиной стала недостаточная энтропия при генерации семян на некоторых моделях Coldcard, особенно на устройствах Mk3 с затронутой прошивкой. Вместо корректного использования аппаратной случайности процесс мог генерировать предсказуемые семены, позволяющие удаленно восстановить приватные ключи. Coinkite рекомендовала потенциально затронутым пользователям перевести средства в новые кошельки, созданные с обновленной прошивкой. Инцидент подчеркивает фундаментальный принцип безопасности: если генерация семени неудачна, даже передовые меры защиты, такие как air-gapped архитектура и защищенное оборудование, теряют большую часть своей эффективности.