Уразливість апаратних гаманців Coldcard призвела до викрадення 1"367 BTC на $89 млн

Виявлена уразливість в апаратних гаманцях Coldcard дала змогу зловмисникам викрасти близько 1"367 BTC загальною вартістю приблизно $89 млн. Відтік коштів торкнувся понад 4"500 адрес і почався під час скоординованих атак 30 липня 2026 року. Проблема, як з'ясувалося, непомітно перебувала у прошивці з березня 2021 року. Помилка послабила якість випадковості, що використовується для генерації "seed" — майстер-ключа до всіх біткоїнів у гаманці. У результаті нападники змогли підібрати такі seed'и. Що сталося в прошивці Coldcard Під час налаштування апаратний гаманець генерує seed, який має бути максимально випадковим. Галузевим стандартом вважають 128 біт ентропії: кількість можливих варіантів настільки велика, що перебір був би нереалістичним. У версії прошивки Coldcard 4.0.1, випущеній у березні 2021 року канадським виробником Coinkite після масштабного переписування коду, з'явився дефект. Замість 128 біт ентропії уражені пристрої — насамперед моделі Mk2 та Mk3 — формували seed приблизно з 72 бітами. Різниця між 128 і 72 бітами на слух здається невеликою, але кожен втрачений біт удвічі зменшує кількість можливих комбінацій. Мінус 56 біт означає скорочення простору пошуку приблизно у 72 квадрильйони разів — рівно настільки, щоб теоретична слабкість перетворилася на практичний інструмент злому. Атака та реакція виробника Експлуатація уразливості стартувала 30 липня 2026 року. За кілька днів із гаманців, де seed було згенеровано на вразливих версіях прошивки, вивели близько 1"367 BTC (орієнтовно $89 млн на той момент). Швидкість спорожнення більш ніж 4"500 адрес вказує на підготовку заздалегідь — ймовірно, із попереднім прорахунком уразливих seed та подальшим швидким серійним виведенням коштів. Coinkite опублікувала виправлення 31 липня — наступного дня після того, як атаки стали очевидними. Патчі вийшли як версія 5.6.0 для Mk4 і Mk5, версія 1.5.0Q для моделі Q та версія 4.2.0 для старішого Mk3. Втім, оновлення прошивки саме по собі проблему не усуває. Якщо seed було створено на вразливій прошивці, користувачу потрібно мігрувати на повністю новий seed: старий залишається скомпрометованим незалежно від того, яка версія ПЗ встановлена тепер. Не постраждали seed'и, згенеровані із застосуванням щонайменше 50 незалежних чесних кидків гральних кісток, а також seed'и, створені на версіях прошивки до 4.0.1. Уразливість стосувалася саме коду генерації ентропії, доданого під час переписування у 2021 році. Аргумент на користь відкритого коду Генеральний директор Foundation Devices Зак Герберт прокоментував інцидент, наголосивши, що відкритий код був ключовим для швидкого виявлення проблеми та реагування спільноти. За його словами, коли прошивка гаманця доступна для аудиту, вразливості знаходять швидше, виправлення ретельніше перевіряють перед розгортанням, а виграє вся екосистема. Він також зазначив, що пропрієтарна прошивка зробила б проблему складнішою для виявлення та ще складнішою для виправлення. Foundation Devices виробляє гаманець Passport, який конкурує з Coldcard. Уразливість перебувала у "бойовій" прошивці понад п'ять років до моменту експлуатації. Водночас швидкий випуск патча — за один день від початку очевидних атак до релізу виправлення — підкріплює тезу про переваги прозорих кодових баз для реагування на інциденти. Що робити користувачам Власникам Coldcard із seed'ами, створеними після березня 2021 року, рекомендовано негайно оновити прошивку і, що критично важливо, згенерувати новий seed та перевести кошти. Саме оновлення без заміни seed залишає базовий ризик. Користувачі, які формували seed за допомогою щонайменше 50 незалежних кидків кісток, не залежали від внутрішнього генератора випадкових чисел пристрою і не підпадають під вплив цієї уразливості.