Уязвимость PRNG в Coldcard за пять лет привела к потере 1 367 BTC — около $86 млн

Уязвимость в генераторе псевдослучайных чисел (PRNG), присутствовавшая в прошивке аппаратных кошельков Coldcard с марта 2021 года, привела к подтвержденной потере 1 367 BTC. По данным ончейн-картирования Galaxy Research на 2 августа 2026 года, средства были выведены с 4 585 адресов — примерно на $86 млн. Это крупнейший по подтвержденным потерям взлом аппаратного кошелька в истории Bitcoin: злоумышленникам не потребовались ни фишинг, ни физический доступ к устройству, ни ошибки пользователя. Galaxy Research сообщает о третьей выявленной волне атак на адреса, предположительно сгенерированные Coldcard: было выведено 207,7294 BTC. Совокупный наблюдаемый масштаб инцидента оценивается в 1 367,05 BTC (около $88,6 млн) на 4 585 адресов. Инцидент, по сути, демонстрирует структурную проблему самокастоди: безопасность любой схемы хранения — аппаратной или программной — упирается в качество энтропии при генерации seed. Один неверно настроенный препроцессорный макрос способен незаметно разрушать эту гарантию годами без видимых сигналов тревоги. На фоне новости BTC/USD снижался на 1,4% за день и торговался около $62 250 после волатильной недели, в ходе которой цена опускалась с уровней выше $65 000. Объем торгов за 24 часа составлял $16,9 млрд против более чем $20 млрд днем ранее (источник: TradingView). Механика взлома: как макрос сломал генерацию seed на годы Корневая причина, выявленная инженерной командой Block, связана с библиотекой libngu в Coldcard. Coinkite настроила параметр платы на ноль, чтобы отключить RNG MicroPython и использовать аппаратный TRNG. При этом защитная проверка в libngu контролировала лишь факт определения макроса, из-за чего значение 0 проходило проверку. В результате MicroPython компилировал вызов аппаратного RNG STM32 и полагался на Yasmarang — программный PRNG с эффективной энтропией около 40 бит вместо ожидаемых 128 бит для seed-фразы BIP39. В более поздних моделях (Mk4, Mk5, Q) показатель, по оценкам, вырос до 72 бит эффективной энтропии, но и это заметно ниже целевого уровня. Разница между 40 и 128 бит существенно облегчает атакующим поиск слабых seed. 30 июля 2026 года Coinkite опубликовала уведомление о безопасности — за несколько часов до атаки, в ходе которой было выведено примерно 594 BTC с 500 адресов. Далее ончейн-аналитики зафиксировали еще две волны; к 2 августа общий итог достиг 1 367,05 BTC на 4 585 адресов. Большая часть похищенного BTC остается не потраченной, что может указывать на выжидательную тактику злоумышленника. Контекст безопасности: повторяющийся сбой в энтропии Случай Coldcard укладывается в известный паттерн. В 2013 году дефект Android SecureRandom приводил к повторению nonce в ECDSA-подписях и раскрытию ключей в ряде Bitcoin-кошельков. В атаке на Wintermute в 2022 году генератор vanity-адресов Profanity использовал 32 бита энтропии при генерации ключей, что позволило вывести $160 млн. В 2023 году раскрытие Milk Sad показало, что bx seed в Libbitcoin Explorer использовал Mersenne Twister, инициализированный системным временем: ожидаемые 256 бит энтропии фактически сокращались примерно до 32, под риск попадали более 120 000 кошельков. Разные кодовые базы и разные экосистемы — один и тот же тип сбоя: источник случайности считался надежным, но таковым не был. Ари Редборд, глобальный руководитель по политике TRM Labs, охарактеризовал инцидент как подтверждение того, что самокастоди переносит риск, а не устраняет его. Это согласуется с данными TRM Labs за H1 2026: компрометации инфраструктуры и ключей, составляя лишь 15% инцидентов, обеспечили 76% совокупных денежных потерь на фоне рекордных 207 событий взломов. Galaxy сообщила, что передала федеральным следователям, комплаенс-провайдерам и кибербезопасностным компаниям около 600 адресов, предположительно контролируемых атакующим. При этом исследователи подчеркивают: атрибуция "Coldcard" основана на ончейн-эвристиках, а не на вычислительной реконструкции seed для каждого адреса.