Сейф с коротким кодом

Владельцы биткоин-кошелька Coldcard думали, что на их сейфе 8 цифр для ввода кода, а оказалось, что их всего 2. И снова виноват ИИ.

Аппаратный кошелёк покупают ради одной гарантии: seed создаётся внутри устройства из случайности, которую невозможно перебрать. Пока seed действительно случаен и не покидает устройство, деньги защищены.

С Coldcard эта гарантия сломалась в самом начале.

В 2021 году при переносе криптографических операций на другую библиотеку генерация seed пошла мимо аппаратного генератора случайных чисел. Прошивка переключилась на генератор MicroPython, состояние которого зависело от UID чипа и таймеров.

На экране всё выглядело правильно. Кошелёк показывал обычные слова. Владелец переписывал их на бумагу, убирал в сейф и получал ощущение холодного хранения. Только пространство возможных ключей уже сжалось.

Для затронутых Mk2 и Mk3 Coinkite оценила реальную энтропию примерно в 40 бит. Для Mk4, Mk5 и Q оценка составила около 72 бит. Ожидалось 128. Код от сейфа выглядел длинным, но значительная часть цифр в нём была предопределена.

Атакующему не требовалось красть Coldcard или узнавать PIN. Он мог воспроизводить возможные состояния генератора на своей машине, получать seed, выводить из них Bitcoin-адреса и сверять адреса с публичным блокчейном. Нашёл совпадение — получил ключ к монетам.

Исследователи связали с этой уязвимостью несколько волн массовых выводов. К 3 августа оценка дошла до 1 816 BTC, примерно 114 млн долларов, более чем с 5 200 адресов. Это анализ ончейн-паттернов: связь каждого отдельного вывода с Coldcard не доказана. Но масштаб уже такой, что списать происходящее на теоретическую дыру нельзя.

Обновление прошивки старый seed не спасает. Исправленный кошелёк продолжит хранить ключ, созданный слабым генератором. Нужен новый seed на безопасной версии прошивки и полный перевод средств на новые адреса.

Код Coldcard годами лежал открытым, а ошибка прожила с 2021 года до атаки. Coinkite допускает, что найти её помог ИИ, хотя доказательств нет. GitHub показывает исходники, но не доказывает, что кто-то проверил путь от кнопки «создать кошелёк» до генератора в собранной прошивке.

Coldcard выбирали за нишевую чистоту: только биткоин, открытая прошивка, работа без постоянного подключения, возможность добавить броски кубика. Каждая функция выглядит разумно. Вместе они создали репутацию кошелька для тех, кто разбирается глубже остальных. Репутация оказалась сильнее накопленной проверки.

У нишевого продукта меньше владельцев, исследователей и реальных атак. Короткая история даёт меньше доказательств и почти не показывает, как компания поведёт себя в катастрофе.

Поэтому для серьёзных денег рациональнее выбирать лидеров рынка с длинной историей. Лидер тоже ошибается. Его просто дольше и дороже пытаются сломать.

Ledger проходил через тяжёлые истории: утечку клиентской базы, компрометацию Connect Kit, скандал вокруг Recover. Эти эпизоды заслуженно били по доверию. При этом они не превратились в массовое восстановление seed, созданных самими устройствами.

В Ledger seed получает случайность от сертифицированного аппаратного генератора внутри Secure Element. Подлинность устройства проверяется криптографической аттестацией при первом подключении и критических действиях. Без подтверждения Secure Element приложение прекращает работу.

Неизвестная ошибка возможна и здесь. Марка на корпусе сама по себе ничего не гарантирует.

У проверенного продукта уже есть шрамы. Видно, где он ломался, кто его исследовал, как быстро команда выпускала исправление и меняла ли защиту после провала. У нишевого продукта часто есть только обещание красивой архитектуры.

Battle-tested — накопленная цена чужих попыток тебя взломать.

При выборе аппаратного кошелька нужно смотреть на генерацию seed, независимые аудиты, сертификацию компонентов, историю инцидентов и реакцию компании. Популярность создаёт постоянное давление: больше денег внутри, больше желающих найти дыру, больше глаз на каждом обновлении.

Сейф выбирают по следам взломов: сколько лет его пытаются открыть и что осталось после этих попыток.