Злам Coldcard на $70 млн: як п’ятирічна помилка з ентропією спустошила 1 082 BTC

Фізично жоден Coldcard не вилучали й не під’єднували до комп’ютера. Атака відбулася віддалено: злочинець відновлював seed-фрази гаманців, створені на вразливій прошивці .

Окрема, раніше зафіксована хвиля цієї ж атаки вивела 594 BTC — близько $38 млн — приблизно з 500 гаманців із одним підписом. Вона тривала близько 25 хвилин, орієнтовно з 01:31 UTC . Galaxy Research, Chainalysis і команда Block незалежно пов’язали ці викрадення з однією вразливістю Coldcard .

Як зловмисник використовував блокчейн-сервіс

Команда Bitcoin Engineering and Security компанії Block під керівництвом інженера Клея Гарретта встановила, що оператор користувався платним акаунтом у відомого провайдера блокчейн-сервісів. Через нього він міг швидко знаходити й запитувати адреси, потенційно створені на вразливій прошивці . Назву провайдера не розкрили.

На слід розслідувачів вивела незвична поведінка в блокчейні: надзвичайно швидке й послідовне спорожнення адрес, які мали однакову слабкість. Block заявила, що виявила сліди, які безпосередньо пов’язують активність оператора з інфраструктурою цього провайдера .

За словами Гарретта, розслідування показало «надзвичайну специфічність — аж до рівня акаунта» . Фактично аналітичний сервіс став для нападника інструментом розвідки: він допоміг скласти список уразливих адрес, а потім визначити, які з них мають найбільші баланси .

Корінь проблеми — одна помилка в препроцесорі

Вразливість з’явилася у коміті прошивки від березня 2021 року, починаючи з версії 4.0.1 для Coldcard Mk3, під час переходу на бібліотеку Bitcoin Core libsecp256k1 .

Причиною стала помилка в макросі конфігурації збірки. Вона змусила прошивку оминути спеціальний апаратний генератор випадкових чисел STM32 (TRNG) і перейти до детермінованого програмного генератора Yasmarang із MicroPython .

Логіка помилки була технічно невеликою, але наслідки виявилися системними:

1. У конфігурації плати MICROPY_HW_ENABLE_RNG встановили в нуль, оскільки Coldcard мала окрему обгортку для апаратного генератора.
2. Бібліотека libngu перевіряла не те, чи макрос увімкнений, а лише те, чи він визначений.
3. Оскільки макрос існував, хоча й мав значення 0, бібліотека помилково вирішила, що апаратний шлях доступний.
4. У результаті виклик прив’язався до програмної функції MicroPython rng_get(), а не до апаратного генератора .

Це знизило фактичну ентропію — рівень випадковості, від якого залежить непередбачуваність seed-фрази, — приблизно до 32–40 бітів замість очікуваних 128 і більше. Простір пошуку скоротився приблизно до 4 млрд можливих значень, що вже можна перебирати за допомогою сучасного обладнання .

Seed-фрази, створені без додаткових кидків власних кубиків або парольної фрази BIP39, виявилися особливо вразливими . Генеральний директор Coinkite Родольфо Новак, відомий як NVK, визнав помилку: «Я навмисно встановив MICROPY_HW_ENABLE_RNG у нуль, думаючи, що нам не потрібна жодна з версій, але це працює не так» .

Які пристрої та прошивки зачепило

Пізніше Coinkite розширила рекомендації на окремі версії прошивки Mk4, Mk5 і Q після додаткового аналізу та випустила екстрені оновлення для всіх моделей, яких могли стосуватися проблеми .

Що робити користувачам

• Викрадені кошти, найімовірніше, не повернути. Виведені біткоїни вже консолідували, а частину з них, імовірно, намагаються відмити через звичайні сервіси мікшування .
• Оновлення прошивки не виправляє стару seed-фразу. Після встановлення патча потрібно створити повністю новий seed на виправленій прошивці й перевести всі кошти на нові адреси .
• Seed-фрази, створені на Mk3 у період із березня 2021 року до липня 2026 року, слід вважати скомпрометованими, навіть якщо кошти досі на місці. Відсутність крадіжки ще не означає відсутність ризику .
• Власні кидки кубиків або додаткова парольна фраза могли захистити частину користувачів. Вони додавали випадковість, якої бракувало в уразливому програмному генераторі .

Користувачам важливо не просто перевірити версію прошивки, а з’ясувати, на якій саме версії було створено seed. Якщо він потрапляє до потенційно вразливого періоду, безпечним рішенням є міграція на новий гаманець, а не очікування, поки адресу атакують.

Чому цей інцидент важливий для самостійного зберігання криптовалюти

Атака вдарила по одному з головних аргументів на користь self-custody — самостійного зберігання криптоактивів: переконанню, що апаратний гаманець гарантує криптографічну безпеку навіть за наявності помилок у програмному забезпеченні .

«Холодне зберігання» не є безвідмовним

Холодний або навіть ізольований від мережі гаманець може залишатися недоступним для прямого злому, але це не допоможе, якщо його прошивка спочатку створила передбачуваний ключ. Засновник Binance Чанпен Чжао, відомий як CZ, публічно попередив, що програмна помилка здатна зробити небезпечним навіть air-gapped-пристрій .

Для пересічного інвестора зростає операційний ризик

Self-custody перекладає на власника не лише контроль, а й відповідальність за оновлення, резервні копії, перевірку пристрою та міграцію коштів у разі інциденту. Тому дискусія зміщується до питання, чи виправданий цей операційний ризик для середнього інвестора. Деякі аналітики очікують, що подібні випадки можуть підштовхнути частину користувачів до регульованих кастодіанів і біткоїн-ETF .

Відкритий код сам по собі не гарантує безпеки

Помилка залишалася у відкритому коді понад п’ять років. Це показує, що прозорість open-source-проєкту — важлива, але недостатня умова захисту. Деякі дослідники вважають, що автоматизований аудит із використанням ШІ може доповнити перевірку людьми й допомогти виявляти тонкі помилки інтеграції генераторів випадкових чисел ще до їх експлуатації .

Один збій може зачепити цілий клас гаманців

Інцидент також продемонстрував системну точку відмови: одна помилка виробника в роботі з ентропією може одночасно зробити вразливими всі гаманці, створені на певній версії прошивки. Кастодіальні моделі частково знижують такий ризик за допомогою розподілу ключів і багатосторонніх обчислень, хоча натомість користувач втрачає повний одноосібний контроль над активами.

Детальний технічний розбір опублікували інженери Block , а технічне пояснення Coinkite доступне в їхньому матеріалі про ентропію .