Що ми знаємо про злам гаманця ColdCard, який вкрав більше 100 млн баксів у Bitcoin

Компанія Coinkite закликає юзерів переводити біткоїни в інші гаманці.

Якщо ви користувач Bitcoin, то могли чути про гаманець Coldcard - BTC-only залізний гаманець, який став ціллю для нещодавньої атаки.

Згідно пресі, хакери винесли більше 100 млн баксів юзерів з "холодних гаманців" Coldcard, такі дані наводить фірма дослідження блокчейнів Galaxy Research.

Ось, що нам відомо про злам, який продовжується прямо зараз, про те, хто постраждав, а також про те, що вам варто зробити, щоб захистити вашу криптовалюту.

Як працює Coldcard?

Гаманець створений компанією Coinkite, що базується у Торонто. Він належить до категорії так званих "хардвар гаманців", але він насправді не зберігає ніяких біткоїнів.

Бітоїни залишаються на публічному блокчейні, тоді як гаманець створює для вас додатковий рівень безпеки, за рахунок зберігання "сід фраз" в оффлайні - без необхідності в тому, щоб вони колись під'єднувались до Інтернету, а тільки зберігались всередині фізичного пристрою.

"Сід фрази" це послідовності з рандомних слів, які неможливо підібрати, які уособлюють приватні ключі від біткоїнів, та дають змогу їх витрачати. Сід фраза є математичним деривативом з приватного Майстер-ключа, яким юзер авторизує транзакції.

Гаманець рекламувався в якості "холодного сейфу" для юзерів біткоїна, які тримають його довгостроково, та хочуть тримати свої приватні ключі подалі від Інтернету, й був часто рекомендований юзерами та експертами з безпеки, в якості одного з самих безпечних місць, в яких можна зберігати Bitcoin.

Що сталось?

На початку серпня Coinkite попередила своїх користувачів про баг у софті, який дозволив хакерам реконструювати сід фрази, які були згенеровані в даному гаманці. Ця величезна діра в софті дозволила хакерам провести декілька хвиль атак, в ході яких вони спромоглися отримати доступ до біткоїн-гаманців юзерів, без необхідності отримання фізичного доступу до пристроїв.

Он-чейн аналіз, проведений компанією Galaxy Research, виявив три великі хвилі атак, та одну малу, в ході яких було вкрадено 1596 BTC, з більш ніж 7300 адрес.

Якщо підозрювана четверта хвиля також буде підтверджена, загальна кількість вкраденого може сягнути 2055 BTC, що дорівнює 130 млн баксів.

Наразі невідомо, хто саме стоїть за атакою.

Родольфо Новак, ко-фаундер та СЕО Coinkite, радив усім, хто використовував Coldcard для генерації сід фрази, "негайно перевести гроші з гаманця", одразу після випуску софтверного апдейта, згідно з офіційною приміткою на вебсайті компанії.

"Ми знаємо, що вибачення нікому не повернуть гроші. Ми знаємо, що нам доведеться знову завоювати довіру наших юзерів." - написав Новак в Твіттері.

Офіційна замітка, яка вийшла згодом, визнає, що злам став можливий з-за недоліку в софті, який було додано у Березні 2021 року. Замість того, щоб генерувати сід фрази через вбудований у гаманець мікрочіп для справжньої генерації випадкових чисел (True Random Number Generator), гаманець робив це за допомогою софтверної бібліотеки для генерації Псевдо-Випадкових Чисел (Deterministic Pseudo-Random Generator).

Компанія запевняє, що знищіла залишки гаманців, які були вироблені із включенням вразливого софту, а до того ж, скасувала відправку поточних замовлень.