Coldcard призвала срочно перевести биткоины на фоне продолжающегося эксплойта: потери достигли $114 млн

Разработчики аппаратного кошелька Coldcard предупредили пользователей о необходимости срочно перевести свои биткоины, подтвердив во вторник, что эксплойт, из-за которого с самокастодиальных кошельков уже могло быть выведено до $114 млн, продолжает действовать. "Просьба отнестись к этому как к срочному. Переведите средства," — сообщила компания, отметив, что угроза активна. Пользователей также попросили предупредить владельцев, которые "реже бывают онлайн" и могли не увидеть уведомление. Именно такие кошельки наиболее уязвимы, поскольку исправление требуется выполнить вручную. Это предупреждение не носит профилактический характер. По данным CoinDesk, в понедельник в течение дня могла пройти четвертая волна списаний: около 449 BTC было выведено с 709 адресов (по обновленной оценке Galaxy Research). Совокупные потери, согласно оценкам, выросли примерно с $89 млн до $114 млн. Как ранее писал CoinDesk, причина уязвимости связана с прошивкой, присутствующей с 2021 года, и риск сохраняется для кошельков, где средства контролируются одним ключом без второго подтверждения, пока владелец не предпримет действия. Речь идет о конкретных устройствах и версиях прошивки. Владельцам Mk3 (модель 2019 года) рекомендуется перевести средства немедленно, если кошелек был настроен на прошивке 4.0.1 или выше. В Coinkite уточнили, что исключение составляют пользователи, выбравшие опцию dice: при ней пользователь физически бросает кости не менее 50 раз и вводит результаты, а кошелек формирует ключ из этих чисел, а не генерирует его самостоятельно. Такие кошельки не задействовали проблемный код и считаются безопасными. Пользователям Mk4, Mk5 и Q на прошивках ниже 5.6.0 или 1.5.0Q следует обновить устройство, создать новый кошелек и затем перевести монеты. Seed-фраза — это главный ключ, управляющий монетами в кошельке. Если она создана с недостаточной случайностью, злоумышленник может подобрать и восстановить ее, после чего вывести средства, не получая доступа к устройству. "Любой кошелек в итоге опирается на корневой секрет, созданный из энтропии высокого качества," — написал Бузон в письме CoinDesk, добавив, что генерация такой энтропии "должна быть закреплена в защищенном оборудовании с архитектурой, не позволяющей незаметно деградировать до недоверенного программного источника". По его словам, альтернативы хуже: программные кошельки на незащищенном железе еще рискованнее, а передача средств централизованной бирже "не является владением — это долговая расписка". По данным CoinDesk, во вторник в ранние часы по времени США биткоин торговался около $63 800, практически без реакции на предупреждение Coldcard.