Coinkite, канадська компанія, що стоїть за апаратним гаманцем Coldcard, попередила користувачів, що їхні біткоїни можуть опинитися під загрозою, якщо seed-фразу гаманця було згенеровано на певних уражених версіях прошивки.

Компанія повідомила, що проблема стосується всіх релізів прошивки Mk3, починаючи з версії 4.0.1, випущеної в березні 2021 року, і пов'язана з ентропією, яку генерує пристрій під час створення seed-фраз.

Кошти досі під загрозою

Seed-фрази, згенеровані на Mk4 та Mk5 до версії прошивки 5.6.0, а також на Q до версії 1.5.0Q, також уражені, хоча Coinkite заявила, що вплив на ці моделі менш серйозний, але все ж залишається значним. За даними компанії, уражені seed-фрази мають близько 72 бітів ентропії замість очікуваних 128 бітів. Згідно з оновленням, TAPSIGNER, OPENDIME та SATSCARD не уражені, оскільки використовують інші кодові бази.

Coinkite закликала користувачів уражених пристроїв перевести свої кошти на заново згенеровану seed-фразу на неураженому пристрої. Компанія заявила, що користувачам Mk4 та Mk5 спершу слід оновитися до прошивки версії 5.6.0 або новішої, а користувачам Q — встановити версію 1.5.0Q або новішу перед генерацією нової seed-фрази.

Користувачам також порадили зробити резервну копію та перевірити нову seed-фразу, підтвердити нову адресу отримання на пристрої й надіслати невелику тестову транзакцію перед переказом решти коштів. Якщо Mk3 є єдиним доступним варіантом, рекомендується тимчасово використати надійну унікальну парольну фразу BIP-39 і ретельно перевірити відбиток гаманця та адресу отримання.

Масштабна крадіжка

Попередження з'явилося після того, як 30 липня виникло кілька повідомлень про те, що біткоїни було виведено з гаманців Coldcard. Atlas21 повідомила, що автоматизована операція вивела кошти з 500 адрес з одним підписом у чотирьох послідовних блоках, з 960188 по 960191. Транзакції перемістили 1324 UTXO на загальну суму 594,5 BTC, що за поточними цінами становить близько 38 мільйонів доларів. Дані вказували на слабкі приватні ключі, згенеровані під час створення гаманців.

Серед постраждалих не було ані мультипідписних, ані Taproot-гаманців.

Медіанна втрата склала 0,41 BTC, при цьому 110 постраждалих втратили понад один біткоїн. Найбільша втрата склала 29,9 одиниць криптоактиву, а сама операція коштувала близько 0,044 одиниці у вигляді комісій за транзакції. Atlas21 повідомила, що перше публічне попередження надійшло від постраждалого на Reddit, який розповів, що його Coldcard згенерував 24-слівну seed-фразу у 2021 році й що ця фраза ніколи не вводилася на комп'ютері.

Попри масове виведення, ціна біткоїна залишилася незворушною, продовжуючи торгуватися близько 64 000 доларів.

Джерело: CryptoPotato