🔑 41 минута, 1 196 кошельков: как обнесли самый параноидальный холодный кошелёк

Coldcard позиционировали как самое умное устройство для хранения биткоинов. Холодный кошелек был спроектирован для параноиков: ни Wi-Fi, ни Bluetooth, только железяка. 30 июля с неуязвимых кошельков компании Coinkite вынесли 1 082 BTC, около $70 млн, за 41 минуту. К 4 августа общая сумма потерь перевалила за $130 млн и 5 200 адресов. В Coinkite отказались оценивать потери клиентов до официального разбирательства.

«Я никогда никому не показывал сид-фразу. Мои устройства не подключались к интернету. Всё лежало в нескольких сейфах», — рассказал Джонатан Гудман, потерявший $1,6 млн.

Как увели деньги:

🟠 В марте 2021 года в прошивку попала ошибка: при создании сид-фразы устройство обходило аппаратный генератор случайных чисел и подставляло программный, предсказуемый.

🟠 Фраза выглядела случайной, но вариантов за ней было не 128 бит, а около 72 на моделях Mk4, Mk5 и Q. На Mk2 и Mk3 энтропии почти не оставалось.

🟠 Такое пространство перебирается на современном железе за часы. К устройству прикасаться не надо: варианты гоняют у себя, сверяют с адресами в блокчейне и забирают то, где сошлось.

Что делать, если у вас Coldcard:

🟢 Обновить прошивку — исправленные версии Coinkite выложил 1 августа.
🟢 Сгенерировать новый сид уже на исправленной прошивке и перевести на него средства. Патч не лечит старые фразы.

Родольфо Новак, директор Coinkite, извинился и предложил помощь с составлением заявлений в полицию. Пользовательское соглашение снимает с компании ответственность за дефекты ПО и отправляет споры в суд Онтарио.

Юристы советуют пострадавшим идти за деньгами в блокчейн: больше 90% украденного до сих пор лежит на адресах злоумышленников.

Что теперь с холодным хранением?
🔥 — устройство всё равно надёжнее биржи
👎 — доверия к железу больше нет
🤡 — было бы что хранить

@NFT_Reality