Холодные кошельки Bitcoin потеряли $70 млн из‑за атаки, не затронувшей устройства

Из 1 196 биткоин-кошельков за 41 минуту 30 июля было выведено свыше 1 000 BTC на сумму около $70 млн. Это почти вдвое больше оценок, появившихся в первые часы после обнаружения кражи. По данным Galaxy Research, в ходе инцидента было списано 1 082,65 BTC в интервале 01:10–01:51 UTC, операции прошли в шести блоках; между ними были три блока без транзакций, что указывает на пакетную рассылку, а не на непрерывный поток. Похищенные средства остаются на четырех адресах и пока не перемещались. Ранние публикации учитывали только один из этих адресов, из‑за чего итоговая цифра впоследствии выросла. Масштаб атаки уступает крупнейшим кражам этого года, но принципиально важен ее механизм. Обычно злоумышленники пытаются "добраться" до цели: взламывают биржу, эксплуатируют уязвимость смарт-контракта или выманивают ключ через фишинг. Аппаратные кошельки продают идею дистанции — ключ хранится на устройстве, которое не подключается к интернету, и атакующему, по сути, нечего "трогать". В основе кошелька лежит seed — число, из которого по публичным правилам выводятся все адреса и приватные ключи. Прошивка Coldcard должна была получать seed из выделенного аппаратного генератора случайности. Но внутренняя настройка сборки указывала пропускать этот генератор, а проверка в вспомогательной библиотеке тестировала лишь наличие настройки, а не то, включена ли она. В результате генерация ключей переходила на примитивную программную замену, начальное значение которой формировалось из серийного номера чипа и регистров часов. Серийный номер — неизменяемые заводские метаданные, а значения часов — параметры, которые атакующий может сузить или измерить на собственном устройстве. Это радикально уменьшало пространство возможных ключей: оно переставало быть практически бесконечным и становилось перебираемым. По оценкам команд безопасности, на старых моделях Mk2 и Mk3 (разные версии Coldcard) генерация ключей могла быть вычисляема; для Mk4, Q и Mk5 диапазон оценили примерно в четыре миллиарда вариантов. Для человека это много, для компьютера — нет. Злоумышленник генерирует кандидаты seed на своей машине, выводит адреса, которые они породят, и сверяет их с публичным блокчейном, который может скачать любой желающий. Все шаги выполняются на стороне атакующего: устройство жертвы не участвует и может быть выключено и заперто в сейфе на другом континенте. Анализ Galaxy показывает признаки именно такого перебора. Из опустошенных кошельков 1 183 использовали современный формат native segwit, семь — более старый стандарт, еще шесть — еще более ранний. Одновременная "охота" на жертв в трех форматах адресов выглядит не как точечная атака, а как систематическая проверка — сопоставление каждого кандидата seed со всеми путями derivation, по которым он мог породить адреса. Galaxy предупреждает: возможны новые волны, если владельцы не переведут средства. При этом пользователь не может надежно проверить, уязвим ли именно его seed: не существует теста, который бы показывал, попадает ли seed в воспроизводимый диапазон. Coinkite, производитель Coldcard, предупредил владельцев Mk3 и заявляет, что новые устройства не затронуты, тогда как отчет Block относит к зоне риска также Mk2, Mk4, Q и Mk5. До прояснения ситуации тем, кто генерировал seed на уязвимой прошивке, фактически остается исходить из худшего сценария, а не пытаться его подтвердить. Впрочем, по данным Block, атакующий допустил ошибку. Исследователь Block Клей Гарретт сообщил в X, что оператор использовал платный аккаунт у "известного провайдера данных блокчейна" для запросов по исходным адресам во время списаний. По его словам, внутренние логи провайдера с "чрезвычайной точностью" совпали с предполагаемым рабочим процессом — вплоть до количества, времени и последовательности запросов. Провайдер, судя по всему, оказывал стандартные услуги и не видел признаков злоупотребления. Block передала информацию властям. Холодное хранение всегда обещало, что ключ невозможно угадать. Многие воспринимали это как обещание, что к ключу невозможно добраться. Цена поиска и эксплуатации уязвимостей первого типа снижается. Во вторник Anthropic опубликовала исследование: одна из ее моделей за 60 часов вдвое снизила стойкость кандидата постквантового алгоритма, который до этого выдержал два года экспертной проверки. Безопасное хранение ключа становится более простой частью задачи.