Хваленый аппаратный кошелек Coldcard отдал хакерам почти 90 миллионов долларов из-за кривого кода 🤨

Аппаратный генератор случайных чисел из-за ошибки интеграции кода в определенных версиях просто не работал. Вместо него система использовала детерминированный программный костыль, опирающийся на таймеры и системные ID.

К моменту, когда производитель Coinkite нехотя признал наличие дыры, хакеры уже провели еще несколько волн краж, выпотрошив в общей сложности более 4500 устройств. При этом украденные битки до сих пор мирно лежат на адресах злоумышленников.

Разработчики экстренно выкатили патчи для всех актуальных линеек устройств, но накатить свежую прошивку оказалось недостаточно. Скомпрометированную сид-фразу уже не спасти программным обновлением. Пострадавшим мамонтам криптомира придется обновлять железо, генерировать новую фразу и судорожно переводить остатки средств на новые адреса.

Вот и получается, что даже хранение ключей под подушкой на специальной флешке не гарантирует сохранность сбережений, если программист вендора забыл добавить правильную проверку в код 🤷‍♂️

🥸 Новости IT: 📱 Telegram | 📱 ВК | 📲 MAX