Оновлення щодо @COLDCARDwallet для моїх підписників, які ще не бачили цієї новини: 👇 Якщо ваше посівне слово було згенероване на Mk3 з прошивкою 4.0.1–4.1.9 (це, ймовірно, було між 2021 та 2023 роками). Якщо у вас новіший ColdCard, ви також, ймовірно, постраждали, але в меншій мірі. Прочитайте їхнє заявлення: https://t.co/rbC81X6wOz Додаткові зауваження: - Проблема не в безпеці вашого приватного ключа на апаратному гаманці. Баг полягав у створенні цього приватного ключа (12–24 слів), який виявився НЕ дуже випадковим. Навіть якщо ваша установка була ізоляційною (air gapped), це не мало значення в цьому випадку. - ColdCard — один із небагатьох пристроїв, які дозволяють вам самостійно генерувати посівне слово (шляхом кидання кубиків). Якщо ви створили приватний ключ самостійно, ваші кошти безпечні, і ColdCard залишається безпечним пристроєм для зберігання цього ключа. Однак, оскільки ми не знаємо, чи виживе компанія після цієї нещасливої події, переконайтесь, що у вас є інший апаратний пристрій для підпису на випадок, якщо оновлення прошивки більше не будуть надходити. - Якщо ColdCard згенерував для вас «не дуже випадковий» приватний ключ, але ви захистили свої кошти додатковим паролем (passphrase) поверх 12–24 слів, ось що вам слід зробити: * Якомога швидше переказуйте кошти до іншого гаманця. Чим сильніший пароль (щонайменше 6 слів або, можливо, 15+ випадкових алфавітно-цифрових символів), тим більше часу у вас є до його підбору, але припустіть, що його зламають — бо це ЄДИНИЙ захист ваших коштів на даний момент. На відміну від пароля вашого банківського акаунту, який блокується після 5 невдалих спроб, комп’ютер зараз підбирає цей пароль з мільйонами комбінацій на секунду! - Якщо ви використовуєте скомпрометовані ключі, згенеровані ColdCard, як частину X з Y MultiSig, то ви можете або не можете перебувати у негайному ризику. Це залежить від того, скільки з цих ключів скомпрометовано. Якщо їх менше ніж X — ваші кошти не під загрозою, але вам все одно потрібно замінити ці ключі. Якщо їх більше або дорівнює X — ваші кошти під загрозою, негайно переказуйте їх до іншого гаманця та перенастройте свою MultiSig-систему. - Якщо ви не використовували пароль і не кидали кубики — ваші кошти, ймовірно, вже пропали 😰 але зупиніть все й негайно перевірте! Остаточна заувага: Мені дуже жаль за всіх людей, які втратили свої кошти, бо багато з нас довіряли ColdCard найвищим припущенням безпеки. Я справді вважаю, що подібні інциденти — це нещасливий досвід, який ми проходимо, і який у кінцевому підсумку робить bitcoin сильнішим і ціннішим. Якби bitcoin не був таким непереможним активом, хакери не намагалися б так наполегливо красти його у вас, експлуатуючи кожну можливу помилку в коді. У нашому нинішньому світі LLM це справджується більше, ніж коли-небудь. - Будьте власним генератором випадкових чисел і почніть створювати свої ВИПАДКОВІ посівні слова. - Захищайте це посівне слово паролем (passphrase). - Використовуйте пристрой у системах X з Y MultiSig!