🔐 ВРАГА: ⚠️ Слабкість у Coldcard дозволила викрасти 594 BTC з апаратних гаманців Слабкість безпеки у певних апаратних гаманцях Coldcard дозволила зловмиснику вивести 594 bitcoin: native, що становлять приблизно $38 мільйонів, з близько 500 гаманців за лише 25 хвилин. Проблема пов’язана з прошивкою 4.0.0, випущеною у березні 2021 року. Згідно з результатами безпекових досліджень, деякі вразливі пристрої, особливо моделі Mk3 з пізнішими версіями цієї прошивки, неправильно використовували апаратну генерацію випадковості під час створення резервних семен. Замість цього вони могли використовувати програмний процес генерації ключів на основі несекретних даних чіпа. Це значно знижувало ентропію семен і могло дозволити зловмиснику відновити приватні ключі віддалено, не маючи фізичного доступу до пристрою. Зловмисник зосередився на гаманцях з однією підписом (single-signature), включаючи деякі адреси, що не мали руху роками, і завершив виведення коштів за кілька хвилин, перш ніж об’єднати більшу частину викрадених bitcoin на одну адресу. Coinkite, компанія, що стоїть за Coldcard, опублікувала попередження про безпеку та рекомендувала користувачам, які створювали свої семена на вразливих пристроях, перенести кошти до нових гаманців, створених із оновленою прошивкою. Компанія також зазначила, що використання додаткових даних або потужних passphrase під час початкової налаштування могло б зменшити ризик. Цей інцидент підтверджує ключовий принцип безпеки апаратних гаманців: якщо генерація семен не вдається, навіть найбільш просунуті захисні механізми втрачають значну частину своєї ефективності.