Непомітна вада PRNG у Coldcard за п'ять років призвела до втрати 1 367 BTC на $86 млн

Уразливість псевдовипадкового генератора чисел (PRNG), що була присутня у прошивці апаратних гаманців Coldcard із березня 2021 року, спричинила підтверджені втрати 1 367 BTC (близько $86 млн) у 4 585 адресах. Про це свідчить ончейн-мапінг Galaxy Research станом на 2 серпня 2026 року. За обсягом підтверджених збитків це найбільший злам апаратного біткоїн-гаманця в історії, і він не вимагав ні фішингу, ні фізичного доступу до пристрою, ні помилки користувача. Galaxy Research повідомила про третю хвилю підозрюваних зламів адрес, згенерованих Coldcard, у межах якої було виведено 207.7294 BTC. Загальний спостережуваний масштаб інциденту оцінено в 1 367.05 BTC (приблизно $88.6 млн) у 4 585 адресах. Інцидент, на думку дослідників, демонструє системну проблему: надійність будь-якої моделі self-custody, апаратної чи програмної, повністю залежить від якості ентропії під час генерації сід-фрази. Один неправильно налаштований макрос препроцесора здатен роками непомітно зруйнувати цей захист без явних симптомів. На тлі новин BTC/USD знижувався на 1.4% за добу до $62 250, продовживши волатильний тиждень, протягом якого ціна опускалася з рівнів вище $65 000. Обсяг торгів за 24 години становив $16.9 млрд проти понад $20 млрд напередодні (джерело: TradingView). Механіка атаки: як помилковий макрос зламав генерацію сід-фраз протягом п'яти років Першопричину команда інженерів Block пов'язала з бібліотекою libngu у Coldcard. Coinkite налаштувала параметр плати на нуль, щоб вимкнути RNG MicroPython і перейти на апаратний TRNG. Водночас захисна перевірка libngu лише перевіряла факт визначення макроса, тому значення 0 проходило контроль. У результаті MicroPython збирався без виклику апаратного RNG STM32 і покладався на Yasmarang ' програмний PRNG, який забезпечував лише близько 40 біт ефективної ентропії замість очікуваних 128 біт для сід-фрази BIP39. Для пізніших моделей (Mk4, Mk5, Q) оцінка ефективної ентропії зросла приблизно до 72 біт, але це все одно нижче бажаного рівня. Різниця між 40 біт і 128 біт суттєва: слабші сіди значно простіше підбирати й атакувати. 30 липня 2026 року Coinkite оприлюднила повідомлення з безпеки за кілька годин до атаки, унаслідок якої було виведено приблизно 594 BTC з 500 адрес. Далі відстежили ще дві хвилі, і станом на 2 серпня сумарний обсяг сягнув 1 367.05 BTC у 4 585 адресах. Більшість викрадених біткоїнів наразі не витрачено, що може вказувати на те, що зловмисник очікує перед подальшим рухом коштів. Контекст кібербезпеки: повторюваний сценарій провалів ентропії Історично ринок уже стикався з подібними збоями. У 2013 році помилка Android SecureRandom призводила до повторного використання nonce в ECDSA-підписах, що розкривало ключі в низці біткоїн-гаманців. У 2022 році генератор vanity-адрес Profanity, який фігурував у зламі Wintermute, ініціалізував генерацію ключів 32 бітами ентропії, що дозволило атакувальнику викрасти $160 млн. У 2023 році розкриття Milk Sad показало, що bx seed у Libbitcoin Explorer використовував Mersenne Twister із сідом від системного часу, фактично знижуючи очікувані 256 біт ентропії до приблизно 32 та наражаючи на ризик понад 120 000 гаманців. Різні кодові бази й різні ланцюги, але одна й та сама структурна причина: джерело випадковості, яке вважали надійним, таким не було. Арі Редборд, глобальний керівник із політики TRM Labs, охарактеризував інцидент як доказ того, що self-custody радше переносить ризик, ніж усуває його. Це узгоджується з даними TRM Labs за H1 2026: компрометації інфраструктури та ключів становили лише 15% інцидентів, але на них припадало 76% сукупних грошових втрат на тлі рекордних 207 подій зламів. Galaxy повідомила, що передала федеральним слідчим, комплаєнс-провайдерам і компаніям із кібербезпеки близько 600 адрес, які вважає контрольованими атакувальником. Водночас дослідники застерегли, що атрибуція Coldcard базується на ончейн-евристиках, а не на відновленні сід-фраз для кожної адреси шляхом обчислень.