Зловмисник вивів $116 млн біткойнів із адрес Coldcard

Зловмисник перемістив близько 1 816 bitcoin, приблизно $116 млн, з більш ніж 5 200 адрес, створених на пристроях Coldcard з 30 липня. Galaxy Research зафіксувала найбільший вивід — 1 082 bitcoin з 1 196 гаманців за 41 хвилину. Прошивка Coldcard версії 4.0.0, випущена у березні 2021 року, містила налаштування збірки, яке вказувало пристрою пропускати його власний апаратний чіп випадковості. Генеральний директор Coinkite Родольфо Новак закликав користувачів, які створювали посіви за допомогою гаманців Coldcard, перемістити кошти за допомогою оновлених найкращих практик. Власники, які створювали посіви за допомогою щонайменше 50 кидків приватних кубиків або використовували сильний пароль, не були впливані.

Чому це важливо: невдача з ентропією гаманця може перетворити офлайн-самоконтроль на приховане розголошення ключа і може підірвати довіру до безпеки апаратних гаманців.

Обережно ведмедячий, стрес-он, технологічно-орієнтований, зменшення ризиків.

Причина: Повідомлений вивід коштів з адрес, згенерованих Coldcard, може підірвати довіру до безпеки апаратного самоконтролю.

Trust Wallet виправив вразливість WebAssembly у своєму браузерному розширенні після того, як ця проблема призвела до втрат користувачів на $170 000, згідно з The Block. Цей випадок показав, як слабке генерування seed-фрази може виставити гаманці на ризик навіть без фішингу чи крадіжки пристрою. (The Block) Ключова відмінність полягає в тому, що випадок з Trust Wallet стосувався програмного забезпечення браузерного розширення, тоді як поточна подія стосується генерування seed-фрази у апаратному гаманці Coldcard.

Сумніви щодо Entropy можуть відвернути користувачів від однообладнаного зберігання на користь систем з більшими оперативними контролю. Попит на зберігання може зростати, якщо великі власники вирішать, що апаратна ізоляція сама по собі не контролює приховані ризики реалізації. Якщо Coinkite опублікує свій технічний огляд та керівництво щодо міграції, тоді контроль може залежати від того, чи швидко користувачі змінюють вразливі ключі.

Можливості: Коли Coinkite опублікує технічний огляд, чітка межа вади може стати потенційним сигналом відновлення довіри для користувачів апаратних гаманців. Якщо інструкції з міграції виявляться обмеженими, то провайдери самоконтролю з більш сильними контролем ентропії можуть здобути довіру користувачів.

Ризики: Якщо додаткові хвилі спорожнять адреси, згенеровані Coldcard, тоді зменшення використання одного пристрою може обмежити операційні втрати. Якщо технічний огляд покаже ширше використання генерації сем’ї, тоді ризик зберігання може залишатися високим серед усіх вплинутих користувачів.