Вразливість у прошивці: Розірваний ланцюг ентропії

Помилка інтеграції в березні 2021 року призвела до того, що пристрої Coldcard почали обходити свій спеціалізований апаратний чіп ентропії під час генерації seed-фрази. Замість нього використовувався програмний псевдовипадковий генератор чисел . Баг торкнувся версій прошивки з 4.0.1 по 4.1.9, а пізніший аналіз розширив діапазон до версій аж до 5.0.3 на пристроях Mk3 .

На уражених пристроях Mk3 ефективна ентропія впала з очікуваних 128 біт до приблизно 40 біт. Це зробило seed-фрази вразливими для офлайн-підбору без необхідності фізичного доступу, фішингу чи шкідливого програмного забезпечення . Власний аналіз Coinkite пізніше підтвердив, що деякі seed-фрази Mk3 мали лише близько 40 біт ентропії . Перевірка прошивки, яка мала підтверджувати активність апаратного генератора випадкових чисел, була зламана тим самим оновленням, що дозволило помилці залишатися непоміченою понад п'ять років .

Технічні деталі

Дослідники з Block (Square) опублікували детальний технічний аналіз 31 липня, простеживши першопричину до помилки інтеграції в коді генерації випадкових чисел Coldcard. "Прошивка COLDCARD містить помилку інтеграції ГВЧ, яка змушує ngu.random використовувати детермінований резервний варіант Yasmarang від MicroPython замість апаратного ГВЧ STM32", — пояснювалося у звіті Block . Це означало, що seed-фрази генерувалися з використанням передбачуваних значень — включаючи серійний номер мікроконтролера та системний лічильник — замість справжньої апаратної випадковості .

Скільки було вкрадено і чому оцінки різняться

Оцінки збитків коливаються від $38 млн до $130 млн. Цей широкий діапазон не є суперечливістю, а відображає різні часові зрізи в міру того, як дослідники розширювали свій ончейн-аналіз.

Чому цифри відрізняються

• Хвилі в часі: Зловмисник(и) здійснили щонайменше чотири окремі зачистки між 30 липня та початком серпня, кожна з яких збільшувала відому загальну суму .
• Волатильність курсу BTC: Звіти оцінюють збитки за курсом Біткоїна на момент звітування, який коливався протягом інциденту.
• Поступове виявлення адрес: Дослідники виявляли вразливі адреси поступово. Ранні підрахунки включали лише очевидно спустошені гаманці, тоді як пізніший ончейн-аналіз Galaxy Research і TRM Labs виявив додаткові уражені seed-фрази, які не були одразу експлуатовані .
• Прогалина в даних Coinkite: Coinkite заявила, що не має даних про клієнтів, необхідних для незалежної перевірки загальних збитків, через свою архітектуру, орієнтовану на приватність, тому відмовилася підтверджувати будь-яку конкретну цифру .

Як відреагувала Coinkite

Реакція Coinkite була швидкою, хоча компанія зіткнулася з фундаментальним обмеженням: оскільки вразливість була в самому процесі генерації seed-фрази, виправлення прошивки не могло виправити вже створені seed-фрази .

• 30 липня 2026 року: Coinkite випустила екстрене повідомлення про безпеку для власників Coldcard Mk3, попередивши, що кошти, прив'язані до уражених версій прошивки, перебувають під загрозою .
• 31 липня 2026 року: Coinkite випустила виправлену прошивку для всіх уражених моделей (4.2.0+ для Mk3; 5.6.0+ для Mk4 та Mk5; 1.5.0Q+ для Q) і опублікувала технічне пояснення першопричини . Компанія також оприлюднила відкритого листа, назвавши попередні дні "одними з найважчих в історії компанії", і закликала всіх користувачів, які генерували seed-фрази на пристроях Coldcard, негайно мігрувати кошти на новостворені seed-фрази .
• Початок серпня: Coinkite скасувала свою давню політику видалення даних, оголосивши, що тепер зберігатиме дані користувачів для виконання потенційних юридичних зобов'язань, що виникли внаслідок зламу .
• Поточний стан: Coinkite пообіцяла опублікувати повний технічний звіт, коли це буде безпечно робити, але станом на середину серпня 2026 року він ще не був випущений .

Як відреагували дослідники

Ширша спільнота дослідників безпеки швидко мобілізувалася, щоб визначити масштаби експлойту та простежити його першопричину.

• Galaxy Research очолили ончейн-криміналістику, задокументувавши початкове викрадення 1 082,65 BTC за 41 хвилину та поступово розширюючи відомий масштаб через чотири хвилі атаки .
• Дослідники Block (Square) опублікували 31 липня детальний технічний аналіз, який простежив першопричину до помилки інтеграції ГВЧ .
• TRM Labs опублікували всебічний аналіз інциденту, оцінивши викрадення приблизно 1 816 BTC з понад 5 200 адрес, назвавши це найбільшим експлойтом апаратних гаманців в історії .
• Було створено спільнотою керований запис інциденту для відстеження еволюції масштабу та технічних деталей .

Ширші наслідки для індустрії

• Bitcoin.org вилучив Coldcard та Coldcard Q зі свого офіційного списку гаманців після інциденту, посилаючись на свої опубліковані критерії включення .
• Злам відновив дебати про самозберігання, причому деякі аналітики стверджували, що це може підштовхнути інвесторів до інституційних рішень для зберігання або Біткоїн-ETF . Тим не менш, створення нових Біткоїн-гаманців досягло максимуму 2026 року після цього, частково через міграцію постраждалих на нові seed-фрази .
• Акції компаній з кібербезпеки зросли на очікуваннях посилення контролю за безпекою апаратного забезпечення, у той час як ціни BTC та ETH залишалися в основному стабільними .
• Експерти галузі та деякі ЗМІ припустили, що для прискорення підбору seed-фраз міг використовуватися штучний інтелект, хоча жодних остаточних доказів опубліковано не було . Сама Coinkite визнала, що навіть внутрішня перевірка з використанням "однієї з найкращих доступних моделей ШІ" для сканування коду прошивки не змогла виявити дефект або будь-яку іншу серйозну вразливість .

Ключові уроки для користувачів апаратних гаманців

• Оновлення прошивки не виправляє вже скомпрометовану seed-фразу. Coinkite була однозначною: "Оновлення прошивки не відновлює seed-фразу, згенеровану ураженою прошивкою. Необхідно згенерувати нову seed-фразу на останній версії прошивки та перемістити кошти до нового гаманця" .
• Ручні джерела ентропії (кидання кубиків, BIP 39 пароль) ймовірно, зменшували вразливість. Користувачі, які генерували власну ентропію через функцію кидання кубиків Coldcard або використовували додаткову парольну фразу BIP 39, були значно менш вразливими .
• Дизайн, орієнтований на приватність, має свої витрати. Нездатність Coinkite перевірити загальну суму збитків або зв'язатися з постраждалими клієнтами була наслідком її конструктивного принципу не зберігати дані користувачів — компроміс, який став тягарем у кризовій ситуації .

Вразливість у прошивці: Розірваний ланцюг ентропії

Помилка інтеграції в березні 2021 року призвела до того, що пристрої Coldcard почали обходити свій спеціалізований апаратний чіп ентропії під час генерації seed-фрази. Замість нього використовувався програмний псевдовипадковий генератор чисел . Баг торкнувся версій прошивки з 4.0.1 по 4.1.9, а пізніший аналіз розширив діапазон до версій аж до 5.0.3 на пристроях Mk3 .

На уражених пристроях Mk3 ефективна ентропія впала з очікуваних 128 біт до приблизно 40 біт. Це зробило seed-фрази вразливими для офлайн-підбору без необхідності фізичного доступу, фішингу чи шкідливого програмного забезпечення . Власний аналіз Coinkite пізніше підтвердив, що деякі seed-фрази Mk3 мали лише близько 40 біт ентропії . Перевірка прошивки, яка мала підтверджувати активність апаратного генератора випадкових чисел, була зламана тим самим оновленням, що дозволило помилці залишатися непоміченою понад п'ять років .

Технічні деталі

Дослідники з Block (Square) опублікували детальний технічний аналіз 31 липня, простеживши першопричину до помилки інтеграції в коді генерації випадкових чисел Coldcard. "Прошивка COLDCARD містить помилку інтеграції ГВЧ, яка змушує ngu.random використовувати детермінований резервний варіант Yasmarang від MicroPython замість апаратного ГВЧ STM32", — пояснювалося у звіті Block . Це означало, що seed-фрази генерувалися з використанням передбачуваних значень — включаючи серійний номер мікроконтролера та системний лічильник — замість справжньої апаратної випадковості .

Скільки було вкрадено і чому оцінки різняться

Оцінки збитків коливаються від $38 млн до $130 млн. Цей широкий діапазон не є суперечливістю, а відображає різні часові зрізи в міру того, як дослідники розширювали свій ончейн-аналіз.

Чому цифри відрізняються

• Хвилі в часі: Зловмисник(и) здійснили щонайменше чотири окремі зачистки між 30 липня та початком серпня, кожна з яких збільшувала відому загальну суму .
• Волатильність курсу BTC: Звіти оцінюють збитки за курсом Біткоїна на момент звітування, який коливався протягом інциденту.
• Поступове виявлення адрес: Дослідники виявляли вразливі адреси поступово. Ранні підрахунки включали лише очевидно спустошені гаманці, тоді як пізніший ончейн-аналіз Galaxy Research і TRM Labs виявив додаткові уражені seed-фрази, які не були одразу експлуатовані .
• Прогалина в даних Coinkite: Coinkite заявила, що не має даних про клієнтів, необхідних для незалежної перевірки загальних збитків, через свою архітектуру, орієнтовану на приватність, тому відмовилася підтверджувати будь-яку конкретну цифру .

Як відреагувала Coinkite

Реакція Coinkite була швидкою, хоча компанія зіткнулася з фундаментальним обмеженням: оскільки вразливість була в самому процесі генерації seed-фрази, виправлення прошивки не могло виправити вже створені seed-фрази .

• 30 липня 2026 року: Coinkite випустила екстрене повідомлення про безпеку для власників Coldcard Mk3, попередивши, що кошти, прив'язані до уражених версій прошивки, перебувають під загрозою .
• 31 липня 2026 року: Coinkite випустила виправлену прошивку для всіх уражених моделей (4.2.0+ для Mk3; 5.6.0+ для Mk4 та Mk5; 1.5.0Q+ для Q) і опублікувала технічне пояснення першопричини . Компанія також оприлюднила відкритого листа, назвавши попередні дні "одними з найважчих в історії компанії", і закликала всіх користувачів, які генерували seed-фрази на пристроях Coldcard, негайно мігрувати кошти на новостворені seed-фрази .
• Початок серпня: Coinkite скасувала свою давню політику видалення даних, оголосивши, що тепер зберігатиме дані користувачів для виконання потенційних юридичних зобов'язань, що виникли внаслідок зламу .
• Поточний стан: Coinkite пообіцяла опублікувати повний технічний звіт, коли це буде безпечно робити, але станом на середину серпня 2026 року він ще не був випущений .

Як відреагували дослідники

Ширша спільнота дослідників безпеки швидко мобілізувалася, щоб визначити масштаби експлойту та простежити його першопричину.

• Galaxy Research очолили ончейн-криміналістику, задокументувавши початкове викрадення 1 082,65 BTC за 41 хвилину та поступово розширюючи відомий масштаб через чотири хвилі атаки .
• Дослідники Block (Square) опублікували 31 липня детальний технічний аналіз, який простежив першопричину до помилки інтеграції ГВЧ .
• TRM Labs опублікували всебічний аналіз інциденту, оцінивши викрадення приблизно 1 816 BTC з понад 5 200 адрес, назвавши це найбільшим експлойтом апаратних гаманців в історії .
• Було створено спільнотою керований запис інциденту для відстеження еволюції масштабу та технічних деталей .

Ширші наслідки для індустрії

• Bitcoin.org вилучив Coldcard та Coldcard Q зі свого офіційного списку гаманців після інциденту, посилаючись на свої опубліковані критерії включення .
• Злам відновив дебати про самозберігання, причому деякі аналітики стверджували, що це може підштовхнути інвесторів до інституційних рішень для зберігання або Біткоїн-ETF . Тим не менш, створення нових Біткоїн-гаманців досягло максимуму 2026 року після цього, частково через міграцію постраждалих на нові seed-фрази .
• Акції компаній з кібербезпеки зросли на очікуваннях посилення контролю за безпекою апаратного забезпечення, у той час як ціни BTC та ETH залишалися в основному стабільними .
• Експерти галузі та деякі ЗМІ припустили, що для прискорення підбору seed-фраз міг використовуватися штучний інтелект, хоча жодних остаточних доказів опубліковано не було . Сама Coinkite визнала, що навіть внутрішня перевірка з використанням "однієї з найкращих доступних моделей ШІ" для сканування коду прошивки не змогла виявити дефект або будь-яку іншу серйозну вразливість .

Ключові уроки для користувачів апаратних гаманців

• Оновлення прошивки не виправляє вже скомпрометовану seed-фразу. Coinkite була однозначною: "Оновлення прошивки не відновлює seed-фразу, згенеровану ураженою прошивкою. Необхідно згенерувати нову seed-фразу на останній версії прошивки та перемістити кошти до нового гаманця" .
• Ручні джерела ентропії (кидання кубиків, BIP 39 пароль) ймовірно, зменшували вразливість. Користувачі, які генерували власну ентропію через функцію кидання кубиків Coldcard або використовували додаткову парольну фразу BIP 39, були значно менш вразливими .
• Дизайн, орієнтований на приватність, має свої витрати. Нездатність Coinkite перевірити загальну суму збитків або зв'язатися з постраждалими клієнтами була наслідком її конструктивного принципу не зберігати дані користувачів — компроміс, який став тягарем у кризовій ситуації .