⚠️ Користувачі Coldcard втратили мільйони через вразливість прошивки 2021 року Одна з найважливіших інцидентів безпеки самостійного зберігання bitcoin виявила критичний урок: апаратні гаманці залежать від безпеки процесу генерації сіда в першу чергу. Вразливість Coldcard, пов’язана з прошивками, випущеними у 2021 році, дозволила злоумисникам вивести кошти з сотень гаманців без фізичного доступу, фішингу чи шкідливого ПЗ. За оцінками, було вкрадено від 594 до більше ніж 1 082 bitcoin, що становить приблизно $38 млн–$70 млн потенційних втрат. Атака відбулася протягом короткого проміжку часу — близько 25–40 хвилин — і стосувалася гаманців, сіди яких були згенеровані під час періоду з вразливою прошивкою. Багато постраждалих адрес залишалися неактивними роками, з коштами, збереженими з моменту створення скомпрометованих сідів. За даними аналізу ланцюга, злоумисник спочатку націлювався на гаманці з найвищою вартістю, включаючи один із коштами близько $1,8 млн. Потім операція розширилася на автоматизоване зняття коштів з додаткових вразливих адрес, що свідчить про попереднє визначення постраждалих гаманців. Причина полягала у недостатньому ентропії під час генерації сіда на певних моделях Coldcard, особливо Mk3 з вразливими версіями прошивки. Замість того щоб правильно використовувати апаратну випадковість, процес міг генерувати передбачувані сіди, що дозволяло відновити приватні ключі на відстані. Coinkite рекомендує користувачам, які можуть бути постраждалими, перенести кошти до нових гаманців, згенерованих із оновленою прошивкою. Цей інцидент підтверджує фундаментальний принцип безпеки: якщо генерація сіда не вдається, навіть сильні захисти, такі як повна ізоляція та безпечне апаратне забезпечення, не можуть повністю захистити кошти користувача.