Злам Coldcard викрав $89 млн BTC через вразливість у прошивці

Взлом Coldcard виявив критичний недолік одного з найбільш довірених апаратних гаманців Bitcoin. Під час трьох хвиль атаки зловмисники використали слабке генерування seed у вразливій прошивці й вивели приблизно 1 367 BTC, що становить близько 89 мільйонів доларів США, з тисяч адрес.

На відміну від типового фішингового скаму або порушення безпеки біржі, ця атака була спрямована на внутрішній процес генерації ключів гаманця. Зокрема, п’ятирічний баг у прошивці призводив до генерації посівів із недостатньою випадковістю, що дозволило нападникам відновити приватні ключі офлайн та вивести кошти користувачів. Тому ця стаття пояснює, як працювала ця вразливість, які моделі Coldcard піддаються ризику, і що повинні зробити постраждалі користувачі далі.

30 липня 2026 року хакерська атака на Coldcard розпочалася, коли невідомий нападник почав виводити bitcoin з апаратних гаманців Coldcard. Під час першої хвилі 594 BTC, що становили приблизно 38 мільйонів доларів США, зникли з близько 500 гаманців за 25 хвилин. Нападник спочатку цілив у гаманці з найвищою вартістю. Друга хвиля збільшила збитки до 1 082 BTC, що становить близько 70 мільйонів доларів США, на 1 196 адресах протягом 41 хвилини. До 2 серпня три хвилі атаки вивели загалом 1 367 BTC, що становить приблизно 89 мільйонів доларів США, з 4 585 адрес.

Зловмисник не вибирав гаманців випадково. За даними Chainalysis, оператор пріоритетно націлювався на найбагатші цілі та зібрав понад 30 мільйонів доларів за перші 10 хвилин. Один гаманець втратив приблизно 1,8 мільйона доларів. Цей шаблон свідчить про те, що зловмисник вже мав ідентифіковані цінні адреси та виконав крадіжку у визначеній послідовності.

Тим часом загальний напад тривав майже 30 годин, перш ніж Coinkite опублікувала своє перше публічне попередження. Galaxy Research пізніше виявила приблизно 600 підозрюваних адрес атакувальників і повідомила про них слідчим. Дослідницька фірма також виявила схожі операційні шаблони в перших двох хвилях, тоді як третя хвиля використовувала інші методи збору.

Найважливіше, що хакерське втручання в Coldcard не було фішинговою атакою, порушенням безпеки біржі чи випадком фізичного викрадення приватних ключів користувачів. Зловмиснику взагалі не потрібен був прямий доступ до пошкоджених пристроїв Coldcard. Натомість гаманці генерували слабкі сіди, коли користувачі їх ініціалізували, що дозволило зловмиснику відновити приватні ключі автономно.

Ця відмінність робить інцидент особливо серйозним. Користувачі купували пристрої Coldcard, щоб ізолювати свої bitcoin-ключі від онлайн-погроз. Однак апаратне забезпечення генерувало ці ключі з недостатньою випадковістю. Іншими словами, продукт, призначений для захисту користувачів, сам створив вразливість. Помилка безпеки існувала з моменту генерації користувачами своїх посівів.

Уявіть, що ви купуєте високозахищений замок, який обіцяє генерувати кожну комбінацію за допомогою справжнього фізичного генератора випадкових чисел. Натомість виробник встановлює передбачувану формулу, яка створює комбінації з обмеженого набору вхідних даних. Коли хтось виявляє цю формулу, він може перебрати всі можливі комбінації, поки не знайде вашу. Саме так став можливим хак Coldcard.

1 березня 2021 року один коміт коду змінив функцію, відповідальну за генерацію посівів гаманця. Спочатку ckcc.rng_bytes збирав справжній випадковий шум із апаратного генератора випадкових чисел, вбудованого в чіп STM32 пристрою. Однак розробники замінили його на ngu.random.bytes — програмний псевдовипадковий генератор чисел, який залежав від детермінованих вхідних даних.

Зокрема, програмний PRNG використовував серійний номер пристрою, значення внутрішнього таймера та історію попередніх викликів RNG. Після цього прошивка обробляла ці вхідні дані за допомогою криптографічного хешування SHA256d. Хоча хешування може перемішувати існуючі дані, воно не може створювати нову випадковість. Тому, якщо система починається лише з 2^40 можливих вхідних даних, вона все ще може генерувати лише 2^40 можливих вихідних даних.

Як наслідок, пошкоджені пристрої Mk3 генерували ключі з приблизно 40 бітами ентропії. Тим часом пристрої Mk4, Mk5 і Q отримали додатковий вхід із безпечного елемента, що підвищило їхню ефективну ентропію до приблизно 72 біт. Однак обидва показники залишилися нижчими за 128-бітний рівень безпеки, очікуваний при генерації ключів bitcoin.

Генеральний директор Foundation Devices Зак Герберт сказав, що помилка потрапила під час великої переписки прошивки у березні 2021 року, коли залишковий код GPL було замінено новими криптографічними бібліотеками. Іншими словами, ця зміна була частиною оновлення ліцензій, а не свідомим рішенням щодо безпеки.

Незважаючи на це, помилковий код залишався активним протягом п’яти років. Coinkite провела аудит прошивки з використанням ШІ лише за кілька тижнів до атаки, але перевірка не виявила проблеми. Крім того, кілька оновлень прошивки, включаючи випуски, спрямовані на безпеку, також не виявили її.

У кінцевому підсумку, гаманець мав використовувати фізичне джерело випадковості для генерації непередбачуваних ключів. Замість цього він використовував обмежену й передбачувану формулу. Коли зловмисник зрозумів цю формулу, він зміг почати відновлювати сід-фрази користувачів і здійснювати атаку на Coldcard.

Зловмисник, що стоїть за хакерським втручанням у Coldcard, не мав потреби красти пристрій або під’єднуватися до нього віддалено. Натомість зловмисник міг оцінити ключові змінні, такі як UID пристрою, стан таймера та послідовність попередніх викликів RNG. За цих обмежень зловмисник міг повністю автономно відтворити можливі потоки вихідних даних сіда.

Потім нападник перетворив кожен кандидат на посів у Bitcoin-адреси та порівняв їх із публічними даними блокчейну. Цей процес працює як перевірка комбінацій на замку. З приблизно 40 бітами ентропії впливові посіви походять з набору приблизно трильйона можливостей. Хоча це число здається великим, сучасне обчислювальне обладнання може перебрати такий простір за практичний час, особливо коли нападник звужує множину цілей.

Зловмисник, ймовірно, зосередився на адресах, пов’язаних із seed-ключами Coldcard, створеними під час вразливого періоду з 2021 по 2026 рік. Звідти зловмисник згенерував кандидатські seed-ключі, вивів відповідні їм адреси та шукав збіги у блокчейні. Коли кандидатський seed-ключ давав адресу з bitcoin, зловмисник отримував контроль над відповідним приватним ключем та вивозив кошти. Отже, цей метод перебору став основою хакерської атаки на Coldcard.

Тим часом Galaxy Research виявила, що хвилі 1 і 2 можуть мати одного й того ж оператора. Однак хвиля 3 продемонструвала іншу поведінку в ланцюжку. Як наслідок, інший нападник може самостійно виявити та використати цю вразливість.

Пристрої Mk4, Mk5 і Q мали більшу ентропію, приблизно 72 біти. Однак вони все ще не досягали очікуваного стандарту в 128 біт. Блок описав цю структуру як «небезпечну структуру з відкритим провалом», оскільки певні умови завантаження могли зменшити пошук до лише 2^32 можливих значень. Зловмисники поки що не експлуатували цю слабкість у масштабі. Навіть так, залишкова структура свідчить про те, що вплинуті пристрої не забезпечили рівня випадковості, якого користувачі очікували від апаратного гаманця.

Атака на Coldcard впливає на кожну модель по-різному залежно від версії прошивки, яка згенерувала посів гаманця. Пристрої Mk2 і Mk3 піддаються найвищому ризику, оскільки вразлива прошивка генерувала посіви лише з приблизно 40 бітами ентропії. Тим часом пристрої Mk4, Mk5 і Q отримали додаткову ентропію від безпечного елемента, що підвищило їхню ефективну безпеку до приблизно 72 біт. Однак цей рівень все ще залишався нижчим за 128-бітний стандарт, очікуваний для генерації посіву bitcoin.

Важливо, що версія прошивки, встановлена на момент створення посіву пристроєм, визначає, чи піддається користувач ризику через хакерську атаку на Coldcard. Поточна версія прошивки не змінює безпеку існуючого посіву. Наприклад, користувач, який згенерував посів на вразливій прошивці, а потім оновив пристрій, все ще має слабкий посів. Слабкість існує всередині числа, яке пристрій вже згенерував. Тому оновлення прошивки захищає лише майбутнє створення посівів. Воно не може виправити старі посіви або зробити їхні асоційовані адреси безпечними.

Однак користувачі, які під час налаштування посіву ввели щонайменше 50 незалежних і приватних кидків кубика, додали зовнішній джерело справжньої ентропії. Ця додаткова випадковість нейтралізує слабкість у програмному генераторі випадкових чисел пристрою. Як наслідок, ці користувачі стикаються з мінімальним ризиком через цю конкретну вразливість. Сильний BIP-39 пароль також ускладнює атаки методом підбору, але не підсилює і не виправляє основний посів. Тому Coinkite все ще рекомендує перенести кошти, згенеровані з вразливого прошивки.

Нарешті, атака на Coldcard не впливає на всі апаратні гаманці. Trezor, Ledger і Block, який виробляє Bitkey, підтвердили, що їхні продукти використовують інші системи генерації ентропії. Тому ця конкретна несправність прошивки не впливає на seed-фрази, створені цими пристроями.

Після хакерського нападу на Coldcard, Coinkite опублікувала перше попередження щодо безпеки 30 липня та 31 липня, приблизно через 30 годин після початку першого виведення коштів. Компанія випустила оновлену прошивку для всіх вплинутих моделей, включаючи v4.2.0 для Mk3, v5.6.0 для Mk4 та Mk5, і v1.5.0Q для Q. Крім того, Coinkite опублікувала технічний аналіз вразливості та надала керівництво з міграції, щоб допомогти користувачам перемістити кошти з слабких сідів.

Крім того, Coinkite оновила своє повідомлення 1 серпня, визнавши, що пристрої Mk4, Mk5 і Q також страждали від зменшення ентропії. Хоча атакуючі в першу чергу цілилися у seeds Mk2 і Mk3 під час хакерської атаки на Coldcard, пізніші моделі все ще не відповідали очікуваному стандарту безпеки 128 біт. Розкривши ширший масштаб проблеми та випустивши виправлення для всіх вплинутих ліній продуктів, Coinkite надала користувачам чіткіший шлях до забезпечення безпеки своїх bitcoin.

Однак відповідь також зустріла закономірну критику. Цей баг залишався в продакшні протягом п’яти років, незважаючи на внутрішні огляди, випуски прошивок із акцентом на безпеку та аудит із використанням ШІ, проведений безпосередньо перед атакою. Ще важливіше, що вилучення тривало майже 30 годин, перш ніж Coinkite опублікував свою першу загальнодоступну попередження. Як наслідок, користувачі, які постраждали, не мали жодної офіційної інформації, яка могла б допомогти їм перемістити свій bitcoin до того, як зловмисник дістався до їхніх гаманців.

Тим часом обставини, пов’язані з початковою зміною коду, викликали додаткові питання. Генеральний директор Foundation Devices Зак Герберт стверджує, що баг ввійшов під час оновлення ліцензій, а не під час переробки, спрямованої на безпеку. Тому цей інцидент спричинив перевірку того, як Coinkite керувала ризиками безпеки під час переписування 2021 року. Подібно до цього, дослідник з безпеки Wizardsardine Кевін Лоек каже, що користувачам слід вважати мультипідписні налаштування, що містять уражені ключі Coldcard, виставленими на ризик — питання, яке не повністю враховується у повідомленні Coinkite.

В кінцевому підсумку Coinkite опублікувала робочі патчі, технічні деталі та інструкції з міграції після того, як хакерський випадок з Coldcard став відомим. Однак ці дії не знищують п’ятирічну невиявленість проблеми чи запізнене попередження, яке завадило деяким користувачам вчасно захистити свої кошти.

Оновлення прошивки Coldcard саме по собі не забезпечить безпеку існуючого гаманця. Вразлива прошивка вже згенерувала слабкий сід, і ця слабкість залишається вбудованою в сам сід. Тому користувачам, які страждають від цієї проблеми, необхідно створити новий сід і переказати свої bitcoin на адреси, отримані з нього. Рекомендації Coinkite та керівництво Shinobi з Bitcoin Magazine пропонують наступний процес міграції.

1. Оновіть прошивку Coldcard. Встановіть останню виправлену прошивку, доступну для вашої конкретної моделі Coldcard та треку випуску. Переконайтесь, що завантажили прошивку з офіційного веб-сайту Coinkite перед її встановленням.
2. Створіть абсолютно нове посівне слово. Створіть посівне слово на оновленому пристрої, а не імпортуйте або відновлюйте старе. Для додаткової випадковості використовуйте щонайменше 50 незалежних і приватних кидків кубиків під час генерації посівного слова.
3. Перевірте новий резервний ключ. Запишіть нові слова резервної копії у правильному порядку та завершіть процес перевірки на пристрої. Потім згенеруйте адресу отримання та переконайтесь, що адреса, відображена у вашому програмному забезпеченні гаманця, збігається з адресою на екрані Coldcard.
4. Перекажіть усі bitcoin на новий гаманець. Надішліть кожен баланс BTC, що керується старим сідом, на адреси, отримані з нового сіду. Уважно перевірте адресу призначення та деталі транзакції на Coldcard перед підписанням.
5. Підтвердьте міграцію. Використовуйте надійного Дослідника блоків bitcoin, щоб переконатися, що транзакції підтверджені. Потім перевірте, що старі адреси не містять залишків bitcoin, і що новий гаманець показує повний переказаний баланс.
6. Безпечно знищіть старий резервний варіант seed. Знищуйте старий резервний варіант лише після того, як усі перекази будуть підтверджені, і ви перевірите доступ до нового гаманця. Видаліть усі фізичні та цифрові копії скомпрометованого seed, щоб ніхто не міг його використати знову.

Не оновлюйте прошивку і не припускайте, що існуючий гаманець став безпечним. Оновлення виправляє генерацію нових seed-фраз, але не може посилити seed-фразу, створену пристроєм раніше. Крім того, кожна міграція вимагає on-chain транзакції bitcoin, тому користувачі повинні враховувати комісії мережі і уникати вибору надто низької комісії під час термінового переказу.

Користувачі мультипідпису стикаються з додатковою складністю. Кожен ключ, отриманий з впливового seed Coldcard, повинен бути замінений. Користувачам слід перевірити поріг підпису гаманця, замінити кожен вразливий ключ і перевірити нову конфігурацію мультипідпису, перш ніж переміщати значні кошти.

Самоконтроль залежить від двох окремих вимог безпеки. По-перше, користувачі повинні керувати своїми приватними ключами. По-друге, гаманці повинні генерувати ці ключі за допомогою справжньої, високоякісної випадковості. Компанії, що виробляють апаратні гаманці, традиційно зосереджувалися на першій вимозі, оскільки вона підтримує знайомий принцип «не твої ключі — не твої монети». Однак вони значно рідше обговорювали другу вимогу. Як показує експлойт Coldcard, користувачі можуть повністю керувати своїми ключами і все одно втратити кошти, якщо пристрій згенерував ці ключі з передбачуваних вхідних даних.

Крім того, цей інцидент є третім серйозним відмовом генератора псевдовипадкових чисел у криптовалюті за останні роки, після Milk Sad у 2023 році та Ill Bloom у 2026 році. У кожному випадку відмова відбувалася під час генерації ключів — процесу, який звичайні користувачі не могли перевірити самостійно. Інтерфейс гаманця може відображати дійсну seed-фразу та створювати працюючі адреси, тоді як під капотом використовується небезпечно слабкий ентропій. Внаслідок цього користувачі можуть не виявити проблеми, поки зловмисник не відновить seed-фразу та не перемістить кошти.

В той же час інцидент ускладнює дискусію щодо апаратних гаманців з відкритим та закритим кодом. Coldcard публікує вихідний код своєї прошивки, хоча не випускає програмне забезпечення за повністю відкритою ліцензією. Розробники могли перевірити вразливий код, проте помилка залишалася непоміченою протягом п’яти років. Отже, наявність публічного коду не гарантує безпечний код. Проте наявність вихідного коду залишається необхідною для значущого аудиту спільнотою, оскільки дослідники не можуть перевіряти програмне забезпечення, до якого немає доступу.

Тим часом CoinDesk повідомив, що експлойт може спрямувати деяких інвесторів до Bitcoin ETF. ETF видаляють операційні ризики, пов’язані з генерацією, зберіганням та захистом приватних ключів. Однак інвестори замінюють ці ризики залежністю від регульованого кастодіана та фінансової установи. Іншими словами, компроміс не видаляє ризик зберігання. Натомість він передає відповідальність від окремого власника інституційному провайдеру.

Нарешті, Blockaid виявив, що скомпрометовані ключі та невдачі в операційній безпеці спричинили більшість втрат криптовалют під час першої половини 2026 року, а не експлуатації смартконтрактів. У цьому контексті інцидент з Coldcard вписується в загальну картину, оскільки атакувач цілив процес генерації ключів, а не сам bitcoin. Холодне зберігання залишається правильним вибором для більшості довгострокових власників bitcoin. Але «холодне» не означає «незламне». Довіряйте принципу. Перевіряйте реалізацію.

Ця стаття має лише інформаційний та освітній характер і не є фінансовою, інвестиційною, юридичною чи безпековою порадою. Завжди проводьте власне дослідження перед прийняттям рішень, пов’язаних з криптовалютами.