Експлойт Coldcard через баг у прошивці: за 30 хвилин виведено $80 млн у біткоїнах

Частина апаратних гаманців Coldcard протягом п'яти років генерувала біткоїн-ключі з фактично "криптографічним замком" низької якості. Помилка з'явилася після переписування прошивки у березні 2021 року у версії 4.0.1: замість апаратного генератора випадкових чисел (hardware RNG) пристрій почав використовувати програмний псевдовипадковий генератор (PRNG). У результаті сид-фрази виглядали надійно, але на практиці виявилися значно простішими для підбору. Наприкінці липня 2026 року зловмисники, за даними розслідувань, виявили слабкість і провели скоординовані "зачистки" гаманців: менш ніж за 30 хвилин було виведено близько 594 BTC (приблизно $38 млн) орієнтовно з 500 гаманців. Окремі оцінки втрат серед усіх користувачів, яких могла зачепити проблема, перевищують 1 300 BTC, тобто понад $80 млн. Суть проблеми з ентропією Безпека Bitcoin тримається на випадковості. Коли апаратний гаманець генерує сид-фразу, він має отримувати ентропію — справжню непередбачуваність, яка робить приватні ключі практично неможливими для вгадування. Галузевим орієнтиром вважають 128 біт ентропії: це настільки великий простір варіантів, що повний перебір займав би більше часу, ніж існує Всесвіт. Прошивка Coldcard 4.0.1 цю планку не витримала. Замість використання виділеного апаратного RNG — фізичного чипа, що генерує випадкові числа на основі електричного шуму, — оновлений код перейшов на програмний PRNG. Ефективна ентропія сиду впала приблизно до 40 біт для моделей Mk3. Для Mk4, Mk5 та Q вона становила близько 72 біт. Обидва значення суттєво нижчі за цільові 128 біт. 40 біт ентропії — це приблизно один трильйон можливих комбінацій. На перший погляд багато, але для сучасних обчислювальних потужностей такий простір може бути перебраний за години, а не за століття. Атака та наслідки Скоординовані списання, за повідомленнями, почалися близько July 3031, 2026. Зловмисникам не знадобився віддалений злам пристроїв, фішингові листи чи шкідливе ПЗ. Використалися наслідки математичної слабкості, закладеної в процес генерації сиду: через зменшений простір ключів атакувальники змогли відновлювати приватні ключі. Одна з хвиль атаки зачепила приблизно 500 гаманців і призвела до виведення близько 594 BTC менш ніж за пів години. Швидкість і точність операції вказують, що зловмисники могли заздалегідь підготувати великий набір уразливих сидів, а потім синхронно виконати перекази. Coinkite, компанія-розробник Coldcard, випустила патчену прошивку для усунення дефекту. Водночас оновлення не робить безпечними сид-фрази, створені раніше з низькою ентропією. Користувачам, які генерували гаманці на вразливих версіях прошивки, необхідно створити нові сид-фрази надійним способом і перенести кошти. Coinkite окремо рекомендувала використовувати фізичні кидки гральних кісток для забезпечення високої ентропії під час нової генерації сиду та попередила не створювати нові сид-фрази на непатчених пристроях. Дискусія про self-custody спалахує знову Інцидент відновив одну з найстаріших суперечок у криптоспільноті: чи справді самостійне зберігання (self-custody) безпечніше за довіру до біржі. Багато постраждалих користувачів у перші дні перевели залишок біткоїнів на централізовані майданчики. Це була не складна атака рівня "нульового дня" і не операція державного масштабу. Причиною став регресійний баг у оновленні прошивки. Те, що проблема зберігалася з березня 2021 року до середини 2026-го, піднімає питання до процесів аудиту й тестування в Coinkite та ширше — у всій індустрії апаратних гаманців.