Bitcoin Magazine

ЗАГРОЗА БЕЗПЕЦІ COLDCARD: ПОТРІБНІ НЕГАЙНІ ДІЇ

По-перше, так, це дуже клікбейтний і абсолютно нетиповий заголовок. Але це реальна проблема безпеки. Нижче — офіційне повідомлення від самої Coinkite, опубліковане вчора; будь ласка, прочитайте його та переконайтеся у справжності проблеми там.

Коротко: гаманці Coldcard MK3, MK4, MK5 і Q спорожняються. Помилка дозволяє зловмисникам обчислити вашу seed-фразу без жодних дій з вашого боку. У безпеці лише ті гаманці, які були згенеровані методом кидання кісток, за умови що ви кинули щонайменше 50 кісток. Якщо ви не знаєте, не пам'ятаєте або не впевнені — негайно переказуйте свої кошти.

Це критична проблема, що вимагає негайних дій. Якщо ви використовували Coldcard для генерації словесної seed-фрази і НЕ використовували рекомендовані 50+ кидків кісток для додавання власної ентропії після кінця 2020 року, ваша seed-фраза небезпечна. Її було згенеровано з недостатньою кількістю випадковості, і зловмисник може підібрати її перебором. Гаманці спорожняються просто зараз. Ця проблема також стосується будь-яких ефемерних ключів і сесійних ключів для функцій Clone Coldcard або Key Teleport, а також seed-фраз BIP 85, згенерованих зі скомпрометованої seed-фрази. ВИ ВСЕ ОДНО МУСИТЕ ПЕРЕКАЗАТИ СВОЇ КОШТИ. 

Ця атака активно експлуатується: із вразливістю пов'язане переміщення близько 1000 BTC у блокчейні. 

Вдихніть і заспокойтеся. Щоб убезпечити свої кошти, ви повинні переказати їх на нову словесну seed-фразу або на seed-фразу, згенеровану іншим пристроєм.

–   Якщо у вас є інший апаратний гаманець, не Coldcard, надішліть кошти туди. Це найшвидший і найпростіший спосіб перемістити їх у безпечне місце.

– Якщо у вас немає іншого апаратного гаманця і є лише Coldcard, створіть парольну фразу (passphrase), використовуючи щонайМЕНШЕ шість seed-слів зі списку слів BIP 39. Скористайтеся цим посібником для вибору слів парольної фрази, НЕ обирайте їх самі. Перевірте відбиток (fingerprint) гаманця (або адресу), вимкніть пристрій, перезапустіть його та знову введіть парольну фразу. Переконайтеся, що відбиток (або адреса) збігається, і надішліть кошти на гаманець із парольною фразою. Це не постійне рішення. Воно лише дає вам достатній захист, щоб зловмисник не зміг підібрати ваші ключі перебором за кілька днів, і ви могли без паніки згенерувати нову seed-фразу. Обов'язково надійно запишіть свою парольну фразу.

–   Якщо у вас немає інших варіантів або вам взагалі некомфортно користуватися пристроєм, є гаманець Nunchuck, доступний на мобільних пристроях і десктопі. Не поспішайте, не квапте себе надто сильно та переконайтеся, що всі резервні копії зроблено правильно. Після перевірки резервних копій надішліть кошти в цей гаманець. Якщо ви керуєте значними сумами, Nunchuck підтримує мультипідпис (multisig). Ви можете створити його, використовуючи кілька пристроїв. Blockstream Green і Bluewallet — ще два варіанти програмних гаманців. 

Щойно ваші кошти в безпеці, приділіть хвилину та розслабтеся. Coldcard, як і раніше, безпечно використовувати, якщо словесна seed-фраза генерується надійним способом. Патч прошивки вже випущено тут. Будь-яка словесна seed-фраза, згенерована після цього оновлення прошивки, має бути безпечною (і ви також можете використовувати опцію кидання кісток). Якщо ви переказали кошти в гарячий гаманець або щось менш безпечне, вашими Coldcard можна безпечно користуватися після встановлення оновлення прошивки та генерації нової seed-фрази.

Після того як ви убезпечили власні кошти, зупиніться та оцініть ситуацію. Проактивно зв'яжіться з усіма, кого знаєте і хто міг користуватися Coldcard, який був вразливим на момент генерації їхньої seed-фрази. Повідомте їм про проблему і, якщо потрібно (і якщо ви на це здатні), допоможіть їм перенести кошти. Не всі регулярно стежать за новинами про біткоїн, тому багато хто може навіть не підозрювати, що вони вразливі.

Ця публікація ЗАГРОЗА БЕЗПЕЦІ COLDCARD: ПОТРІБНІ НЕГАЙНІ ДІЇ вперше з'явилася на Bitcoin Magazine, автор — Shinobi.

Джерело: BitcoinMagazine