Эксплойт прошивки Coldcard на $70 млн: ошибка пятилетней давности позволила украсть 1 082 BTC

В отдельной, более ранней волне той же атаки было похищено 594 BTC (~$38 млн) примерно из 500 одноподписных кошельков за 25 минут около 01:31 UTC . Galaxy Research, Chainalysis и инженерная команда Block независимо друг от друга связали все эти кражи с одной и той же уязвимостью Coldcard .

Как злоумышленник использовал блокчейн-аналитический сервис

Команда инженеров Block по биткоину и безопасности под руководством инженера Клея Гарретта (Clay Garrett) установила, что хакер использовал платный аккаунт известного поставщика блокчейн-услуг для эффективного поиска и запроса уязвимых адресов . Необычно быстрый и последовательный характер транзакций — адреса с одинаковой уязвимостью опустошались один за другим — привлёк внимание следователей. Block подтвердил наличие следов, связывающих активность злоумышленника с инфраструктурой этого провайдера .

Расследование Block выявило то, что Гарретт назвал «экстраординарной точностью, вплоть до уровня учётной записи» . Аналитический сервис фактически выступил в роли инструмента разведки, позволив хакеру быстро определить, какие адреса были созданы на уязвимой прошивке, и выбрать самые крупные цели .

Первопричина: единственная ошибка в макросе препроцессора

Ошибка была допущена в коммите прошивки от марта 2021 года (начиная с версии 4.0.1 для Mk3) в ходе миграции на библиотеку libsecp256k1 от Bitcoin Core . Ошибка в макросе конфигурации сборки привела к тому, что прошивка обходила штатный аппаратный генератор случайных чисел (TRNG) STM32 и вместо него использовала детерминированный программный ГСЧ Yasmarang из MicroPython .

Конфигурация платы устанавливала MICROPY_HW_ENABLE_RNG в ноль, так как у Coldcard был собственный обёрточный модуль для аппаратного ГСЧ. Однако библиотека libngu неправильно обрабатывала этот макрос: её проверка (#ifndef MICROPY_HW_ENABLE_RNG) проверяла только то, определён ли макрос, а не то, равно ли его значение нулю . Поскольку макрос был определён (хоть и с нулевым значением), libngu решила, что аппаратный путь доступен, и подключила программную функцию rng_get() из MicroPython .

Фактическая энтропия снизилась до примерно 32–40 бит (вместо запланированных 128+ бит), то есть существовало лишь около 4 миллиардов возможных значений seed — что легко поддаётся полному перебору на современном оборудовании . Seed-фразы, созданные без добавления пользовательских бросков кубиков или парольной фразы BIP 39, были полностью скомпрометированы .

Генеральный директор Coinkite Родольфо Новак (NVK) позже признал ошибку: «Я явно установил MICROPY_HW_ENABLE_RNG в ноль, думая, что нам не нужна ни одна из версий, но это не то, что делает этот макрос» .

Пострадавшие и незатронутые устройства

Позже Coinkite расширила предупреждение на некоторые версии прошивок Mk4, Mk5 и Q и выпустила экстренные обновления для всех затронутых моделей .

Что делать пострадавшим пользователям

• Средства не подлежат возврату. Украденные биткоины были консолидированы и, скорее всего, отмываются через стандартные миксеры .
• Даже после установки патча прошивки старые seed-фразы остаются скомпрометированными. Необходимо сгенерировать совершенно новую seed-фразу на исправленной прошивке и переместить все средства на новые адреса .
• Пользователи, создавшие seed-фразы на Mk3 в период с марта 2021 по июль 2026 года, должны считать их скомпрометированными, даже если средства пока не украдены — их кошельки всё ещё уязвимы для той же атаки .
• Дополнительные парольные фразы или пользовательские броски кубиков смягчали уязвимость и защищали некоторых пользователей даже на уязвимой прошивке .

Последствия для дискуссии о самоконтроле

Этот эксплойт подорвал одну из ключевых концепций самоконтроля (self-custody) — что защищённый элемент аппаратного кошелька гарантирует криптографическую безопасность независимо от ошибок в ПО .

• Холодное хранение не является абсолютно надёжным. Основатель Binance Чанпэн Чжао (CZ) публично предупредил, что даже аппаратные кошельки с изоляцией от сети могут быть скомпрометированы из-за ошибок в прошивке .
• Дискуссия смещается в сторону вопроса, стоит ли самоконтроль операционного риска для обычных инвесторов. Некоторые аналитики прогнозируют возврат к регулируемым кастодианам и биткоин-ETF .
• Ошибка оставалась незамеченной в открытом коде более пяти лет, что доказывает: прозрачность кода сама по себе не гарантирует безопасность. Некоторые исследователи утверждают, что для выявления тонких ошибок интеграции ГСЧ необходим автоматизированный аудит на основе ИИ, а не только ручная проверка кода .
• Инцидент также выявил единую точку отказа: если производитель аппаратного обеспечения допускает одну ошибку в энтропии, все кошельки, созданные на этой прошивке, становятся уязвимыми одновременно — это системный риск, который кастодиальные решения частично снижают за счёт разделения ключей и многосторонних вычислений.

Подробный технический анализ см. в отчёте инженеров Block и техническом обосновании Coinkite .