Потери биткоина, связанные с Coldcard, достигли $70 млн на фоне уязвимости прошивки

Galaxy Research сообщила, что 30 июля в период с 01:10:20 до 01:51:26 UTC были полностью опустошены 1 196 адресов: похищено 1 082,65 BTC (примерно $70,2 млн). Аналитики связали потоки с уязвимостью Coldcard; на характерный паттерн, обнаруженный инженерами Block и распространённый Клеем Гарреттом, указывали как на основу атрибуции. Coinkite сначала предупредила пользователей, которые генерировали seed-фразы на устройствах Coldcard Mk3 с версией прошивки 4.0.1 и выше, что их средства могут быть под риском. Позднее компания расширила предупреждение на отдельные версии прошивок Mk4, Mk5 и Coldcard Q и выпустила экстренные обновления. Генеральный директор Coinkite Родольфо Новак (NVK) в пятницу принёс извинения и заявил, что компания полностью берёт на себя ответственность за ошибку в прошивке. Почему это важно: слабости в генерации seed-фраз способны превратить баг прошивки на уровне устройства в прямой риск хранения для пользователей, чьи средства находятся на затронутых кошельках. Рыночные настроения: медвежьи, стрессовые, событийные, с ориентацией на снижение риска. Причина: Galaxy Research связала более 1 000 BTC из похищенных средств с уязвимостью Coldcard, и трейдеры могут трактовать ситуацию как прямую угрозу самостоятельному хранению. Похожие случаи: в 2022 году разработчики Solana связали массовый вывод средств с мобильными кошельками Slope; по состоянию на 05:00 UTC было затронуто почти 8 000 кошельков. Slope рекомендовала создать новый кошелёк с новой seed-фразой и перевести туда активы. Отличие нынешнего инцидента в том, что тогда речь шла о мобильных программных кошельках, а сейчас — о прошивке аппаратного кошелька Coldcard и seed-фразах для Bitcoin. (The Block) Возможный эффект: доверие к самостоятельному хранению может снизиться, если пользователи сочтут генерацию seed-фраз ненадёжной на затронутых устройствах. При появлении новых списаний из адресов, связанных с уязвимыми группами seed-фраз, пользователи могут начать выводить средства из self-custody в альтернативные схемы хранения на период замены кошельков. Если экстренные обновления остановят дальнейшие выводы, последствия могут ограничиться владельцами уже скомпрометированных seed-фраз. Возможности и риски: — Возможности: если экстренные обновления Coinkite и процедура создания новых seed-фраз прекратят новые выводы, поэтапный перенос средств после небольшой тестовой транзакции может стать более безопасным сигналом восстановления. — Риски: если атаки продолжатся и затронут адреса, созданные с использованием seed-фраз Coldcard, то признание старых seed-фраз скомпрометированными снизит подверженность дальнейшим потерям при хранении.