Деврелишна
Ссылка
нажмите — покажем
нажмите — покажем
24 слова, аппаратный кошелёк и полная изоляция от интернета. Всё выглядит надёжно, пока не выясняется, что секрет мог быть выбран примерно из триллиона вариантов.
Coinkite обнаружил ошибку в генерации сид-фраз Coldcard. На Mk3 эффективная энтропия могла падать примерно до 40 бит, на Mk4, Mk5 и Q — до 72 бит. В таком сценарии атакующему необязательно красть устройство: возможные фразы можно рассчитывать удалённо, а созданные из них адреса — сравнивать с открытым блокчейном.
Почти одновременно в сети Bitcoin прошла странная серия переводов: за 25 минут переместили 594,48 BTC стоимостью около $38 млн. Аналитики насчитали 1324 потраченных UTXO примерно в 500 транзакциях. Это не означает, что пострадали 500 кошельков. Связь переводов с Coldcard выглядит возможной, но пока не доказана.
Обновить прошивку недостаточно. Она исправляет только создание новых фраз. Владельцам затронутых Mk3, Mk4, Mk5 и Q нужно сгенерировать новый секрет и перенести средства.
Исходный код прошивки был доступен для проверки больше пяти лет. Но возможность провести аудит ещё не означает, что нужный участок действительно кто-то проверил.
https://anonhaven.com/news/koshelyok-ne-vzlamyvali-oshibku-coldcard-svyazali-s-vyvodom-594-btc/
@Anonhaven | anonhaven.com
1 · 60 ·