Изъян в генерации seed на Coldcard повышает риск кражи биткоинов

Владельцам аппаратных кошельков Coldcard Mk3 может потребоваться срочно перевести средства на новые адреса. Компания Coinkite предупреждает: биткоины, привязанные к seed-фразам, созданным на прошивке 4.0.1 или более поздних релизах для Mk3, потенциально под угрозой. Контрибьютор Bitcoin Core instagibbs сообщил, что сумел воспроизвести уязвимый seed на заново инициализированном Mk3. По данным Coinkite, проблема затрагивает и устройства Mk4 и Mk5 при версиях прошивки ниже 5.6.0, а также линейку Q при версиях ниже 1.5.0Q. В этих случаях эффект оценивается как менее тяжелый, но все равно серьезный. Компания намерена провести формальный технический разбор первопричины. Аппаратный кошелек обычно защищает уже существующий ключ: изолированное хранение, офлайн-подпись транзакций и проверка данных на экране устройства. Генерация seed происходит до этих уровней защиты и определяет, насколько сильным будет исходный ключевой материал. Безопасность seed-фразы держится на энтропии — качестве случайности, которая выбирает одну комбинацию из огромного множества. Если случайность слабая, поле вариантов сужается: атакующий получает возможность перебирать кандидаты, выводить адреса и наблюдать за поступлениями с другого компьютера. В таком сценарии "воздушный зазор" ломается в точке старта, а кража превращается в удаленную задачу поиска: злоумышленник отслеживает соответствующие адреса и тратит средства, когда находит совпадение. Поскольку все уже созданные адреса контролируются исходным seed, исправление требует новых ключей и ончейн-перевода. Обновление прошивки способно защитить будущие процессы настройки, но не меняет ключевой материал, который уже контролирует старые адреса. Полная санация для потенциально слабых seed — только генерация нового seed и перевод средств. Профиль максимального риска Наиболее уязвимая конфигурация — когда затронутый Mk3 сгенерировал seed, кошелек одноподписный, без BIP39-пароля (passphrase), без добавления энтропии через кости и без multisig. В таком случае генератор seed на устройстве становится единственным криптографическим корнем. Coinkite отмечает, что сильный и уникальный BIP39 passphrase добавляет независимый барьер. При этом короткие, распространенные, шаблонные, взятые в кавычки или повторно используемые passphrase могут оказаться угадываемыми. Passphrase отличается от PIN устройства и формирует отдельный кошелек на основе той же мнемоники — для атаки нужно восстановить оба секрета. Даже при наличии сильного passphrase компания все равно рекомендует миграцию на заново сгенерированный seed. Multisig снижает риск, если порог подписи требует независимых ключей: одна слабая seed-фраза тогда ограничивается ролью одного подписанта. Пользовательские кости добавляют внешний источник энтропии; в продвинутом сценарии Coinkite указывает не менее 99 честных бросков в режиме импорта "только кости". Эти меры требуют дисциплины в хранении записей и проверенной процедуры восстановления. Потерянный passphrase может навсегда заблокировать владельца, плохо документированный multisig усложняет восстановление, а утечка записей бросков может раскрыть новый seed. Рекомендованный порядок действий от Coinkite: проверить резервную копию, fingerprint и адрес для получения, отправить небольшую тестовую сумму, затем перевести основной баланс. Такой порядок снижает вероятность вторичной ошибки из-за спешки — неверного адреса, слабого временного кошелька или неполного бэкапа. Уровни защиты и почему они не закрывают этот сценарий — Air gap: препятствует утечке ключей по активному соединению; не помогает, если seed был предсказуем при создании. — Secure storage: изолирует существующий приватный ключ; бесполезно, если исходный ключевой материал слаб. — Offline signing: защищает процесс подписания после появления seed; не исправляет проблему генерации. — Проверка на экране устройства: подтверждает адреса и суммы; не доказывает достаточную энтропию при генерации. — Обновление прошивки: улучшает будущее поведение; не заменяет старые адреса под контролем уже созданного seed. — Новый seed + перевод: создает свежий ключевой материал и уводит средства со старых адресов; единственный полный путь устранения риска. Холодное хранение получает "график обслуживания" Coinkite выпустила финальную прошивку для Mk3 в июне 2023 года, а июльское уведомление 2026 года касается seed, созданных устройствами Mk3 с марта 2021 года. Этот разрыв примерно в три года между завершением поддержки продукта и срочными действиями по хранению превращает cold storage в проблему обслуживания наследуемой инфраструктуры. Долгосрочные держатели могут включать устройство раз в несколько лет, старые страницы продукта теряют видимость, а уведомления производителя легко пропустить на месяцы. Seed способен пережить само устройство, ветку прошивки и исходные каналы поддержки, поэтому системе хранения нужны долговечные каналы оповещения и повторяемые процедуры миграции. Производители могут публиковать архитектуру энтропии, предупреждения по конкретным устройствам и "плейбуки" ротации ключей, доступные годами после завершения продаж. В документации Coinkite по безопасности упоминаются открытый код и воспроизводимые сборки как инструменты инспекции: можно сравнивать исходники с бинарниками релизов. Но дефекты способны оставаться незамеченными, пока кто-то не изучит конкретный участок кода, который и генерировал "спящий" seed. Отсюда вывод: независимое тестирование энтропии — базовая практика для аппаратных кошельков. Воспроизводимый бинарник показывает, какой код работал, но качество случайности требует отдельной проверки. Сценарии развития В позитивном сценарии пользователи аккуратно проводят ротацию ключей, Coinkite публикует разбор первопричины, а производители кошельков внедряют более жесткие тесты энтропии и долговечные каналы оповещения. Passphrase, multisig и независимая случайность получают более широкое распространение, создавая несколько криптографических барьеров вокруг одного баланса. В негативном сценарии "спящие" кошельки Mk3 продолжают принимать средства на старые адреса, а владельцы узнают о риске из сообщений о кражах или через экстренные рассылки. Панические переводы могут приводить к дополнительным потерям из-за непроверенных адресов, слабых временных кошельков или ошибок с бэкапами, а неподтвержденные заявления связывают не относящиеся к проблеме ончейн-движения с этой уязвимостью. Аппаратные кошельки сделали self-custody практичным, защищая ключи при хранении и расходовании. Предупреждение Coldcard расширяет модель безопасности на этапы настройки, мониторинга и ротации — превращая любой seed в долгосрочное обязательство по обслуживанию, которое может пережить устройство, на котором он был создан. Материал "A flaw in Coldcard seed generation lets attackers recreate private keys from the press of a button" впервые опубликован на CryptoSlate.