🚨 41 минута. 1 196 кошельков. 1 082 BTC. Около 70 миллионов долларов США испарились из устройств, называемых холодными кошельками 😳 При этом злоумышленник даже не прикасался ни к одному из устройств 👇 🧊 Coldcard — один из самых надежных аппаратных кошельков в мире bitcoin. Сотни кошельков были поочередно опустошены в ночь с 30 июля с 01:10 до 01:51 UTC. Это обнаружил Galaxy Research. Большинство из них были «спящими» кошельками, которые не двигались с 2021 года 💀 🔍 А почему? Самый критический момент аппаратного кошелька — это момент первого создания seed-фразы. В этот момент устройство должно извлекать числа из своего собственного физического генератора случайных чисел — непредсказуемого физического источника. ⚠️ В марте 2021 года одна единственная строка кода в прошивке заставила устройство перестать использовать этот аппаратный источник. Вместо него был включен гораздо более слабый, программный генератор. А откуда этот генератор черпал свою случайность? Из серийного номера устройства, внутренних часов и нажатий клавиш 🤯 📉 Результат: безопасность в 128 бит, которая должна была стоять за 12-словной seed-фразой, снизилась до примерно 40 бит. То есть астрономическая вероятность превратилась в диапазон, который может быть перебран brute force-методом на компьютере. Кошельки не были взломаны — они были пересчитаны 🧮 🧨 Coinkite первым предупредил о проблеме для Mk3, а затем расширил охват. Затронутые версии: Mk3 с версии 4.0.1 и выше, Mk4 и Mk5 с версиями ниже 5.6.0, Q с версиями ниже 1.5.0Q. Генерированные seed-фразы в этих версиях подвержены риску. Генеральный директор Родольфо Новак открыто извинился и взял на себя ответственность. ✅ Кто остался в безопасности? Те, кто при настройке добавил собственную случайность, бросив кости не менее 50 раз. А также те, кто добавил к этому сильный BIP39 passphrase. У них риск остался значительно ниже. 🛑 Это очень важно: обновление прошивки не исправляет уже созданные seed-фразы. Обновление защищает только будущие seed-фразы. Уже созданные слабые seed-фразы не становятся сильнее после обновления. Необходимо создать новую seed-фразу в исправленной версии и перевести средства туда. Не спешите — сначала сделайте небольшой тестовый перевод 🐢 📊 И это еще не все. Galaxy Research обнаружил вторую волну. Общая сумма отслеживаемых средств превысила 1 158 BTC — около 75 миллионов долларов США. Средства находятся на 7 адресах и до сих пор не тронуты. Это крайне необычное поведение для такого масштаба кражи 👀 🧠 Урок здесь следующий: Мы годами воспринимали термин «холодный кошелек» как «недоступный». Но настоящая уязвимость — не в том, где хранится ключ, а в момент его рождения 🔑 И как пользователь вы не можете проверить этот момент позже. Вы просто доверяете устройству — и всё. 🐾 Примечание Шерлока: Это третий по величине инцидент в истории криптовалют того же класса после Milk Sad. Единственное, что повторяется в истории криптовалют — это то, что уязвимости раскрываются именно там, где люди больше всего доверяют. А что вы думаете о будущем? 🤔 Будем ли мы и дальше доверять закрытым системам аппаратных кошельков или бросание костей для создания собственной случайности должно стать новым стандартом? Обсудим в комментариях 👇 Этот контент носит исключительно информационный характер и не является инвестиционной рекомендацией или консультацией.