Coinkite, канадська компанія, що стоїть за апаратним гаманцем Coldcard, попередила користувачів, що біткоїни можуть бути під загрозою, якщо їхній seed-код був згенерований на певних вразливих версіях прошивки.
Компанія заявила, що проблема стосується кожного випуску прошивки Mk3 з версії 4.0.1, випущеної у березні 2021 року, і пов’язана з ентропією, що генерується пристроєм, при створенні посівів.
Засоби все ще під загрозою
Сіді, згенеровані на Mk4 і Mk5 до версії прошивки 5.6.0, а також на Q до версії 1.5.0Q, також підпадають під вплив, хоча Coinkite said, що вплив на ці моделі менш серйозний, але все ще є серйозним. За даними компанії, у вразливих сідів лише близько 72 біт ентропії замість очікуваних 128 біт. За оновленням, TAPSIGNER, OPENDIME та SATSCARD не підпадають під вплив, оскільки вони використовують інші кодбази.
Coinkite закликала користувачів із пошкодженими пристроями перенести свої кошти на новостворений сід на непошкодженому пристрої. Компанія повідомила, що користувачі Mk4 і Mk5 спочатку повинні оновити прошивку до версії 5.6.0 або новішої, а користувачі Q — встановити версію 1.5.0Q або новішу, перш ніж створювати замінний сід.
Користувачам також порадили створити резервну копію та перевірити новий семенний фразу, підтвердити новий адрес отримання на пристрої та відправити невелику тестову транзакцію перед переказом решти коштів. Якщо Mk3 — єдиний доступний варіант, рекомендується тимчасово використовувати надійний, унікальний BIP-39 пароль та уважно перевірити відбиток гаманця та адресу отримання.
Масштабний крадіж
Рекомендація з’явилася після того, як 30 липня з’явилися кілька повідомлень про те, що bitcoin було виведено з гаманців Coldcard. Atlas21 повідомив, що автоматизована операція swept 500 адрес з однією підписом у чотирьох послідовних блоках — від 960188 до 960191. У транзакціях було переміщено 1 324 UTXO на загальну суму 594,5 BTC, що становить близько 38 мільйонів доларів США за поточними цінами. Докази вказували на слабкі приватні ключі, згенеровані під час створення гаманців.
Серед жертв не було жодного мультіпідписного чи Taproot гаманця.
Середній збиток становив 0,41 BTC, а 110 жертв втратили більше одного біткойна. Найбільший збиток склав 29,9 одиниць криптоактива, а операція коштувала близько 0,044 одиниці в комісіях за транзакції. Atlas21 зазначив, що перше попередження від публіки надійшло від жертви на Reddit, яка сказала, що її Coldcard згенерував 24-слівну seed-фразу у 2021 році, і ця seed-фраза ніколи не вводилася на комп’ютер.
Незважаючи на масовий відтік, ціна bitcoin залишилася незмінною, оскільки вона продовжувала торгуватися близько $64 000.
Пост Coldcard Mk3 Users Warned of Risk After 594 BTC Swept From 500 Addresses з’явився першим на CryptoPotato.