Может ли история Coldcard повториться с Trezor или Ledger: разбор

Главный вопрос недели после $114 млн потерь на Coldcard: уязвимы ли остальные аппаратные кошельки. Короткий ответ обеих компаний — нет: Ledger и Trezor заявили, что их устройства не затронуты и работают на других системах. Но чтобы понять, чего стоят эти заявления, нужно понять, что именно сломалось у Coldcard — потому что сломалась там не криптография.

Баг Coldcard — ошибка маршрутизации, а не шифрования. В сборке прошивки от марта 2021 препроцессорная ошибка тихо перенаправила генерацию сида мимо аппаратного генератора истинной случайности (TRNG) в предсказуемый программный путь, засеянный несекретными данными чипа. Пространство ключей схлопнулось со 128 бит до эффективных ~40 — объём, перебираемый компьютером. Стандарты BIP-39 и деривация адресов у всех вендоров общие и работали корректно; атака не потребовала касаться устройств — кандидатные сиды перебирались офлайн и сверялись с блокчейном. Худшее в этом баге — его тишина: устройство пять лет выглядело исправным.

Почему у Trezor этот сценарий устроен иначе — показал свежий независимый разбор кода генерации сида, сделанный после инцидента. Драйверы TRNG там работают по принципу fail-closed: данные принимаются только при чистых флагах ошибок генератора, отказ железа вызывает видимое зависание, а не тихий слабый выход; обязательны тесты на повторяющиеся слова. В актуальной Safe-линейке сид собирается XOR-ом двух независимых аппаратных TRNG — микроконтроллера и secure element, — и отказ второго поднимает исключение. Вердикт разбора: класс бага Coldcard в кодовой базе отсутствует, а архитектура делает его внедрение существенно труднее. Плюс открытый код: ошибку такого рода может найти любой — у Coldcard код тоже открыт, но нашли её через пять лет и уже по следам атаки.

У Ledger ставка другая: генерация происходит внутри сертифицированного secure element (Common Criteria EAL5+/6+ с TRNG сертификационного класса), компания заявляет полные 256 бит энтропии. Код закрыт — это минус для внешней проверяемости и плюс в виде формальной сертификации; отдельный фактор — собственная атакующая лаборатория Donjon, которая регулярно ломает чужие устройства: в марте именно она нашла и помогла закрыть уязвимости в Trezor Safe. Взаимный аудит конкурентов — недооценённый механизм безопасности этой индустрии.

Честная часть, без которой разбор был бы маркетингом: класс «имплементационный баг генератора случайности» универсален и исторически повторяется — Debian OpenSSL в 2008-м, Android SecureRandom в 2013-м, Profanity в 2022-м, Milk Sad в 2023-м. Каждый раз ломалась не математика, а конкретная реализация в конкретной сборке. Гарантии, что такой баг невозможен у любого вендора, не существует; разница между архитектурами — в вероятности ошибки и в том, откажет ли система громко или тихо. У Coldcard она отказала тихо.

Практические выводы для держателей. Паниковать оснований нет: доказательств уязвимости Trezor или Ledger не существует, аномальных свипов их адресных пространств в блокчейне не видно — а такая атака была бы видна. Что реально снижает риск всего класса, а не одного вендора: BIP-39 passphrase (средства на passphrase-кошельке требуют перебора ещё и пассфразы даже при слабом сиде), мультисиг (среди жертв Coldcard мультисиг-конструкций не обнаружено), пользовательская энтропия вроде бросков костей там, где она поддерживается, и диверсификация между независимыми кошельками. И общее правило, которое Coldcard написал кровью: обновление прошивки не лечит уже созданный слабый сид — лечит только новый сид и переезд средств.
————————————————————
BredoStrategy Vault
BredoStrategySubs