Уразливість у Coldcard могла відкрити доступ до 1"128 BTC на $71,1 млн

П'ятирічна вада в програмному забезпеченні апаратних гаманців Coldcard могла дати змогу зловмиснику відновити приватні ключі та вивести понад 1"100 BTC. Виробник Coinkite заявив, що до виявлення проблеми могли долучитися інструменти штучного інтелекту, але підтверджень цього немає. Ключові факти: - Під загрозою опинилися seed-фрази, пов'язані з Coldcard: 1"128,4717 BTC (близько $71,1 млн). - Coinkite припускає, що ШІ міг допомогти знайти баг, який існував близько п'яти років; атрибуцію не доведено. - Користувачам із потенційно вразливими seed потрібно створити новий гаманець на прошивці з виправленням. Скоординоване виведення спорожнило сотні адрес Інцидент став публічним після того, як 30 липня приблизно 594 BTC (орієнтовно $38 млн на той момент) були переміщені з близько 500 одно-підписних (single-signature) біткоїн-адрес. Перші повідомлення вказували, що перекази відбулися протягом приблизно 25 хвилин і виглядали як атака на гаманці зі спільною технічною слабкістю. Подальший аналіз блокчейна розширив оцінки масштабу: дослідники припустили, що за період близько 41 хвилини могли постраждати від 1"082 до 1"196 адрес. Спеціальна панель Coldcard Sweep Watch згодом оцінила загальний обсяг на рівні 1"128,4717 BTC, що відповідало близько $71,1 млн за ціни біткоїна поблизу $63"044. За скриншотом, зробленим 1 серпня 2026 року о 8:30 за східним часом США, оцінка становила 1"128,4717 BTC; за годину, о 9:30, вона зросла до 1"128,6633 BTC. Більшість коштів було зведено на одну адресу, що акумулювала сотні біткоїнів; значна частина суми надалі лишалася майже без руху. Спільна ознака постраждалих адрес: recovery seed-фрази були згенеровані на апаратних гаманцях Coldcard, які виробляє канадська Coinkite. Seed-фраза (список слів) фактично керує доступом до криптогаманця: той, хто здатен її відновити або отримати, зазвичай може переказати кошти без фізичного пристрою. Coldcard: зламана система випадковості Coinkite випустила термінове попередження: певні seed-фрази, згенеровані на Coldcard, могли виявитися слабкими. Найвищий ризик компанія пов'язала з пристроями Mk3 на прошивці версії 4.0.1 (випуск близько березня 2021 року) та пізнішими версіями. Додаткові перевірки поширили занепокоєння на seed, створені на деяких Mk4, Mk5 і Q до виходу екстрених виправлень прошивки. Пристрої Tapsigner, Opendime і Satscard, за повідомленнями, не зачеплені, оскільки використовують інше ПЗ. Проблема стосувалася генерації випадкових даних. Безпечні гаманці залежать від якісної ентропії, щоб seed-фразу неможливо було підібрати. Для найбільш уражених Mk3 дослідники оцінили ефективну випадковість приблизно у 40 біт замість запланованих 128 біт. Різниця принципова: 128-бітний seed практично нереально вгадати перебором, тоді як 40 біт різко зменшує кількість варіантів. Це дозволяє атакувальнику з достатніми обчислювальними ресурсами офлайн перебирати seed, а результати звіряти з публічними даними в мережі Bitcoin. На частині новіших пристроїв ефективна випадковість могла становити близько 72 біт завдяки додатковому шару непередбачуваних даних із захищеного апаратного середовища. Це ускладнює відновлення, але все одно значно слабше, ніж було задумано. Одна помилка конфігурації протрималася 5 років Першопричиною стала помилка конфігурації на етапі збірки, пов'язана з двома функціями, що виконували схожі завдання. Одна використовувала апаратний генератор істинно випадкових чисел, інша ' слабший програмний механізм, успадкований від MicroPython. Coinkite планувала відключити варіант MicroPython, але перевірка в коді зважала лише на наявність конфігураційної мітки, а не на те, чи її значення встановлено в нуль. Через це прошивка могла непомітно обирати слабшу функцію. Обидві функції мали однаковий формат, тож ПЗ компілювалося й працювало без очевидних помилок. Вразливість потрапила в код під час міграції у 2021 році й лишалася у публічно доступній прошивці понад п'ять років. Оновлення пристрою зараз не зробить сильнішим seed, згенерований на помилковій прошивці. Власникам потенційно вразливих seed потрібно створити повністю нову seed-фразу на виправленій прошивці або на іншому безпечному пристрої, після чого перевести кошти на адреси під контролем нового seed. Водночас користувачі, які під час генерації seed додали щонайменше 50 незалежних кидків кубика, могли надати достатньо додаткової ентропії, щоб уникнути слабкості. Сильна BIP39-парольна фраза (passphrase) також могла ускладнити відновлення. Мультипідписні схеми, де потрібні підписи з кількох незалежних пристроїв, могли не дозволити одному скомпрометованому seed самостійно вивести кошти. Coinkite натякає на роль ШІ, але доказів немає CEO Coinkite Родольфо Новак публічно вибачився та заявив, що компанія бере на себе повну відповідальність за провал у прошивці. За його словами, команда готує виправлення, технічні звіти та підтримку для постраждалих. Компанія також висунула припущення щодо того, як могли знайти уразливість. Оскільки прошивка роками була у відкритому доступі, Coinkite вважає можливим сценарій, за якого хтось застосував ШІ для аналізу старих версій коду й виявив слабкий шлях генерації випадковості. Новак написав у дописі на X: "Для всіх інших розробників: ми вважаємо, що це твереза реальність нової парадигми ШІ. Рев'ю коду з допомогою ШІ тепер здатне знаходити приховані баги зі швидкістю, яка випереджає навіть найдосвідченіших експертів галузі". Він додав: якщо прошивка є open-source або колись була публічною, слід виходити з того, що її вже читають і нападники, і захисники. Сучасні системи для програмування на базі ШІ можуть обробляти великі репозиторії та помічати підозрілі зв'язки між налаштуваннями конфігурації, функціями та припущеннями безпеки. Потенційний атакувальник може поставити запит на пошук слабких генераторів випадкових чисел, запасних (fallback) функцій або помилок, що впливають на криптографічні ключі. Деякі спостерігачі повідомляли, що змогли відтворити пошук експлойта Coldcard, використовуючи топові моделі ШІ. Незалежні дослідники згодом зазначали, що застосовували ШІ-моделі для пошуку або пояснення проблеми після того, як стало відомо про дефект випадковості. Це демонструє доступність ШІ-аналізу коду, але не доводить, що первинний зловмисник діяв саме так. Coinkite також визнала: їхня внутрішня перевірка із застосуванням провідної ШІ-моделі не виявила ваду до інциденту. Це підкреслює, що ШІ не знаходить автоматично кожен критичний дефект ' результат залежить від інструкцій, обсягу наданого коду та здатності людини правильно інтерпретувати попередження. Критики: спершу була людська помилка Частина фахівців з безпеки застерігає від надмірного фокусування на ШІ, яке може відволікати від базового інженерного провалу. На їхню думку, конфігураційна помилка є типовим класом софтверних збоїв, які можна було виявити роками раніше звичайними code review, тестуванням або аудитом, сфокусованим на генерації seed. Ці підходи не суперечать один одному: людська помилка створила вразливість і дозволила їй зберігатися, а ШІ міг знизити вартість пошуку, розуміння чи експлуатації. Захисникам потрібно знаходити всі небезпечні слабкі місця, нападнику ' лише одне. Інцидент також б'є по уявленнях про безпеку open-source: публічність коду дає змогу незалежним експертам його перевіряти, але сама по собі не гарантує, що хтось перегляне саме критичну ділянку, розпізнає тонкий дефект і повідомить про нього до атаки. Для користувачів Coldcard першочергове завдання ' з'ясувати, коли і за яких умов було створено seed. Власникам потенційно вразливих seed слід звіряти інструкції лише через офіційні канали Coinkite, встановити виправлену прошивку, створити новий seed і обережно перевести кошти, остерігаючись фішингу та фейкових повідомлень "підтримки". Далі увага ринку буде зосереджена на трьох питаннях: скільки саме біткоїнів було викрадено, чи вдасться ідентифікувати зловмисника та чи відіграв ШІ вирішальну роль у виявленні вразливості. Для виробників апаратних гаманців це означає тиск на посилення тестування ентропії, аудит конфігурацій збірки та регулярний перегляд старого коду як людьми, так і 'адверсаріальними' ШІ-інструментами.