🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Из аппаратных криптокошельков похитили $88,6 млн из-за ошибки прошивки
05 августа. / КИБЕР МЕДИА /. Из тысяч аппаратных кошельков вывели 1367 биткоинов стоимостью около $88,6 млн. По оценке Galaxy Research, первая волна краж затронула 1196 адресов: за 41 минуту с них перевели 1083 BTC. После еще двух волн общее число опустошенных кошельков выросло до 4585. Украденные средства пока остаются на подконтрольных злоумышленникам адресах.
Инцидент связали с ошибкой в прошивке аппаратных кошельков Coldcard. Специалисты Block выяснили, что из-за некорректной интеграции генератора случайных чисел устройство в некоторых случаях использовало предсказуемый программный алгоритм. Это снижало стойкость создаваемых сид-фраз и позволяло атакующим перебрать возможные варианты, сопоставляя полученные адреса с данными открытого блокчейна.
Производитель Coldcard, компания Coinkite, подтвердил проблему и выпустил исправления. Уязвимость затрагивает сид-фразы, созданные на Mk2 и Mk3 с прошивками 4.0.1-4.1.9, а также на Mk4, Mk5 и Q до установки защищенных версий. Продукты Tapsigner, Opendime и Satscard не пострадали.
Простого обновления прошивки недостаточно: ранее созданная сид-фраза останется уязвимой. Владельцам необходимо установить исправление, создать новый кошелек и перевести на него средства. Исключением могут быть пользователи, добавившие при генерации ключа не менее 50 независимых бросков игральной кости и защитившие кошелек надежной BIP-39-парольной фразой.