Galaxy: баг RNG у Coldcard призвів до викрадення щонайменше 1 596 BTC, збитки можуть сягнути близько $130 млн

Аналітики Galaxy Research заявили, що вразливість у апаратних гаманцях Coldcard уже коштувала користувачам щонайменше 1 596 BTC. У разі підтвердження ймовірної четвертої хвилі крадіжок сукупні втрати можуть зрости приблизно до 2 055 BTC, що відповідає орієнтовно $130 млн. У дописі на X компанія повідомила, що відстежила 1 596 BTC, викрадених у межах трьох підтверджених хвиль атак. За оцінкою Galaxy, постраждали близько 7 300 адрес, також зафіксовано 14 менших пов'язаних інцидентів. Ймовірну четверту хвилю поки не включають до підтвердженої статистики, очікуючи на звернення жертв, які мають підтвердити ончейн-сигнали. Якщо активність буде пов'язана з тим самим експлойтом, загальний обсяг втрат зросте до близько 2 055 BTC. Як Galaxy отримала ці оцінки Ончейн-мапінг Galaxy дозволив ідентифікувати 1 596 BTC у трьох підтверджених хвилях. Раніша, ширша оцінка лише за даними блокчейна вказувала на рух коштів у чотирьох хвилях на рівні близько 1 815,75 BTC, але компанія звузила підтверджений показник, залишивши більшу, ще неперевірену оцінку для підозрюваної четвертої хвилі. Потенційну четверту хвилю аналітики позначили 3 серпня, помітивши шаблони транзакцій, схожі на попередні атаки. Поточна оцінка для цієї підозрюваної хвилі становить близько 448,7 BTC і 709 потенційних адрес-жертв. У Galaxy наголошують: одних даних блокчейна недостатньо, щоб підтвердити кожну жертву або довести, що всі крадіжки здійснив один оператор. Водночас ончейн-активність свідчить, що підозрювана четверта хвиля "значною мірою" пов'язана з одним зловмисником, що дає компанії середньо-високу впевненість, попри очікування прямих підтверджень. Суть вразливості Coinkite, виробник Coldcard, розкрив дефект минулого тижня та пов'язав його зі зміною прошивки у березні 2021 року. Під час інтеграції нової криптографічної бібліотеки шлях генерації seed-фрази помилково перейшов на детермінований псевдовипадковий генератор MicroPython замість апаратного true random number generator, який підтримується самим пристроєм. Оскільки апаратний RNG і далі використовувався в інших частинах прошивки, поверхневі внутрішні перевірки не виявили заміну джерела ентропії. Незалежна перевірка Команда Bitcoin engineering and security у Block незалежно переглянула прошивку й дійшла того самого висновку: уразлива версія використовувала детермінований fallback MicroPython для створення seed замість апаратного RNG STM32. За оцінкою Coinkite, фактична ентропія для уражених пристроїв суттєво нижча за задуманий рівень: приблизно 40 біт для частини Mk2/Mk3 та близько 72 біт для уразливих Mk4/Mk5 і моделей Coldcard Q, тоді як цільовий показник становив 128 біт. Поведінка атак і стан розслідування Galaxy зазначає, що більшість викрадених залишків розподілялися по багатьох новостворених адресах, а не консолідувалися в одному "збирачі". Частину коштів згодом проганяли через транзакції другого кроку, що ускладнює відстеження. Під час підозрюваної четвертої хвилі інтенсивність атак, за спостереженнями Galaxy, зросла приблизно до 13,8 "sweep" операцій гаманців на блок Bitcoin проти близько 0,3 на блок до цього. Близько 90% викрадених BTC залишаються нерухомими в мережі, а монети, вкрадені в перших трьох підтверджених хвилях, не рухалися з моменту крадіжки. Це, за оцінкою компанії, дає слідчим час для моніторингу та реагування. Galaxy співпрацює з федеральними правоохоронними органами США, криптобіржами та групами з кіберрозслідувань, передаючи підтверджені адреси зловмисників і жертв у міру розширення розслідування. Компанія попереджає, що інші зловмисники можуть спробувати використати ту саму вразливість, доки уражені гаманці залишаються в обігу. Тому ідентифікація адрес під контролем атакувальників критична, аби біржі та органи влади могли діяти в разі руху коштів. Рекомендації користувачам Galaxy та Coinkite радять власникам Coldcard перевести кошти з будь-яких гаманців, створених на уразливій прошивці, на нові безпечні адреси. Нові seed-фрази слід генерувати лише після встановлення виправленої прошивки. Coinkite випустила екстрені оновлення для всіх уражених моделей, зокрема v4.2.0 для Mk2/Mk3, v5.6.0 для Mk4/Mk5 та v1.5.0Q для Coldcard Q, і повідомила про знищення залишків складу з уразливою прошивкою. Важливі застереження від Coinkite Оновлення захищає лише гаманці, створені після встановлення виправлення. Існуючі seed, згенеровані на уразливій прошивці, залишаються під загрозою й мають бути замінені. Coinkite рекомендує створити повністю новий seed на пропатченому пристрої, перевірити адресу для отримання, надіслати невелику тестову транзакцію і лише після успіху тесту переводити весь баланс. Гаманці, створені з використанням щонайменше 50 чесних кидків приватних гральних кісток, не вразливі до цієї проблеми RNG самі по собі. Сильна BIP39-парольна фраза додає захисту, але Coinkite все одно радить міграцію, оскільки первинний seed-матеріал залишається слабким. Інші нотатки щодо відновлення Раніше Galaxy вказувала, що користувачі, які бачать непідтверджену транзакцію крадіжки, можуть мати вузьке вікно, щоб спробувати замінити її через механізм Replace-by-Fee (RBF). Це можливо лише до включення початкової транзакції в блок і не гарантує повернення коштів. Підсумок Інцидент підкреслює, що помилки на рівні прошивки здатні підірвати безпеку апаратних гаманців. Власникам Coldcard варто перевірити версію прошивки, вважати seed, створені на уразливих версіях, скомпрометованими, і переносити кошти лише після встановлення виправлень Coinkite та виконання рекомендованого чеклиста. Galaxy продовжує ончейн-мапінг і взаємодію з правоохоронцями, щоб відстежувати адреси зловмисників і стримувати подальші втрати.