Уязвимость Coldcard позволила похитить 594 BTC из-за предсказуемой генерации seed-фраз

Злоумышленник за 25 минут вывел около 594 BTC (примерно $38 млн) примерно из 500 одноподписных кошельков Coldcard в ходе скоординированной атаки, произошедшей ранним утром в пятницу. По данным расследования, вывод средств занял интервал с 01:31 до 01:56 UTC: около 500 транзакций были проведены в пределах трёх блоков с высокой скоростью и точностью. 562 BTC удалось отследить до одного адреса, на котором средства пока не перемещались. Отмечается, что многие затронутые кошельки не использовались годами до момента кражи. Проблема связана с тем, что устройство, призванное держать ключи офлайн, в ряде случаев создавало seed-данные так, что пространство поиска резко сокращалось и становилось практически угадываемым. Coinkite выпустила экстренные обновления прошивки и предупредила пользователей: риск касается тех, кто генерировал seed на COLDCARD Mk3 при прошивке 4.0.1 или новее. По предварительной оценке компании, Mk4, Q и Mk5 не затронуты. При этом установка исправленной прошивки не делает безопасными seed-фразы, уже созданные в уязвимых условиях: их необходимо заменить, создав новый seed и переведя средства на новый кошелёк. Как возникла уязвимость Сбой берёт начало в прошивке Coldcard, изменения в которую были внесены в марте 2021 года. Из-за параметра сборки устройство обходило аппаратный генератор случайности, а проверка в вспомогательной библиотеке контролировала лишь наличие этого параметра, а не то, активирован ли он. В результате генерация ключей переключалась на программный механизм, где исходные данные формировались из серийного номера чипа и регистров часов. Эти значения не являются секретными и не обладают истинной непредсказуемостью для атакующего. Тем самым ожидаемо огромная энтропия для защиты приватных ключей сводилась к предсказуемым данным устройства. Компания подчёркивает, что уровень риска определяется прошивкой, работавшей в момент создания кошелька, а не датой покупки устройства. Для владельцев неподдерживаемых Mk3 сценарий миграции может оказаться отдельной и потенциально сложной процедурой, если на кошельке остаются средства. Рекомендации и расширение проверки Coinkite рекомендует использовать надёжную BIP39 passphrase, минимум 99 бросков игральной кости для добавления энтропии или сочетание обоих методов. Компания также предполагает, что для масштабного выявления дефекта злоумышленник мог применить искусственный интеллект при анализе старых версий opensource-прошивки. Это допущение не является подтверждённой атрибуцией. Дополнительную иронию ситуации создаёт заявление Coinkite о том, что её собственная AI-ассистированная проверка несколькими неделями ранее не выявила ничего критичного. Проверка безопасности выходит за рамки seed-фраз: уязвимый генератор мог затронуть ключи paper wallet, маски для seed splitting, ключи клонирования и передачи Key Teleport. Это расширяет объём текущего аудита, который уже не ограничивается 594 BTC, похищенными у сотен пострадавших.