- Более 1 000 биткоинов, стоимостью около 70 миллионов долларов, было выведено с 1 196 кошельков Coldcard за 41 минуту 30 июля, что почти вдвое превышает первоначально сообщённые потери.
- Исследователи утверждают, что уязвимость в прошивке некоторых аппаратных кошельков Coldcard сделала якобы непредсказуемые сид-фразы вычислительно перебираемыми, что позволяет злоумышленникам восстанавливать приватные ключи, не прикасаясь к самим устройствам.
- Компании по безопасности предупреждают, что количество взломанных кошельков может увеличиться, поскольку владельцы не могут с уверенностью определить, были ли их seed-фразы сгенерированы на уязвимой прошивке, даже несмотря на то, что следователи отслеживают злоумышленника через логи провайдера данных блокчейна.
Более 1 000 биткоинов, стоимостью около 70 миллионов долларов, было выведено с 1 196 кошельков за 41-минутный промежуток времени 30 июля, почти удвоить сумму сообщили, когда кража впервые всплыла.
Galaxy Research составила карту полное мероприятие на Пятница, обнаружено 1 082,65 BTC, перемещенных между 01:10 и 01:51 UTC в шести блоках, при этом три промежуточных блока не содержали транзакций, что указывает на то, что транзакции были отправлены партиями, а не непрерывно.
Средства находятся на четырёх адресах и не перемещались. Ранние отчёты охватывали только один из этих адресов, поэтому сумма увеличилась.
Размер атаки намного меньше, чем у некоторых крупных атак этого года, но именно механизм делает её необычной — и именно поэтому эта атака представляет собой значительную проблему.
Почему уязвимость в кошельке Coldcard является более значительной, чем большинство подобных эксплойтов
Большинство краж в криптовалюте связаны с получением доступа к чему-либо. Взламывают биржу, обманывают контракт, получают ключ с ноутбука методом фишинга. Защита всегда заключалась в дистанции, именно это и предлагает аппаратный кошелек. Храните ключ на устройстве, которое никогда не подключается к интернету, и, теоретически, у злоумышленника не будет к чему прикоснуться.
Большинство краж криптовалюты требуют получения ключа. В этом случае ключ был воссоздан. (Шаурья Мальва/CoinDesk)
Когда создается кошелек, устройство должно выбрать число настолько большое и непредсказуемое, что его угадывание становится невозможным.