Summary
Владельцы криптовалют ранее уделяли внимание диверсификации своих монет. Теперь, после эксплуатации Coldcard на сумму 70 миллионов долларов, им советуют также диверсифицировать свои кошельки.
В субботу основатель Binance Чанпэн Чжао, известный как CZ, призвал владельцев криптовалют распределить свои средства по нескольким кошелькам после серьезного сбоя безопасности в популярных аппаратных кошельках Coldcard.
«Даже аппаратные кошельки могут содержать ошибки. Даже старые кошельки (с долгой историей) могут содержать ошибки. Как уменьшить риски？ Возможно, стоит разделить средства между несколькими кошельками？ Это влечет за собой иной набор рисков. Ничто не гарантировано на 100%. Будьте в курсе событий. Оставайтесь SAFU!», — сказал он.
30 июля некоторые пользователи биткоина обнаружили, что средства с их кошельков Coldcard были украдены в результате серии неожиданных транзакций. Злоумышленник воспользовался уязвимостью прошивки, датируемой мартом 2021 года, которая ослабляла случайность при генерации восстановительных сидов на некоторых моделях Coldcard. Восстанавливая приватные ключи офлайн, злоумышленнику удалось вывести средства без физического доступа к устройствам.
Первые сообщения указывали, что около 594 BTC, стоимость которых на тот момент составляла 38 миллионов долларов, были выведены с примерно 500 кошельков за 25 минут. Последующий анализ Galaxy Research расширил масштаб до 1 082,65 биткоина, оцененных примерно в 70 миллионов долларов, выведенных с 1 196 адресов за примерно 41 минуту. Многие из затронутых кошельков были неактивны в течение нескольких лет.
Производитель Coldcard компания Coinkite признала наличие ошибки, извинилась и выпустила экстренные обновления прошивки. Компания рекомендовала пользователям, создавшим сиды на затронутых версиях, генерировать полностью новые сиды на устройствах с установленными патчами и тщательно мигрировать средства, отметив, что просто обновление прошивки не обеспечивает безопасность уже созданного уязвимого сида.
Эпизод возобновил дискуссию о пределах само-хранения. Аппаратные кошельки широко рассматриваются как один из наиболее надежных способов офлайн-защиты биткоина, однако случай с Coldcard демонстрирует, что даже давно зарекомендовавшие себя устройства могут содержать критические уязвимости, которые остаются незамеченными на протяжении многих лет.
Предложение CZ о диверсификации признаёт, что распределение рисков сопровождается собственными практическими трудностями, включая более сложное управление ключами.
Основатель Binance Чанпэн Чжао, известный как CZ, призвал владельцев криптовалют распределить свои средства по нескольким кошелькам после серьезного сбоя безопасности в популярных аппаратных устройствах Coldcard.
В опубликованном в субботу на X сообщении, отвечая на сообщения о краже, CZ написал: «Даже аппаратные кошельки могут содержать ошибки. Даже старые кошельки (с долгой историей) могут содержать ошибки. Как минимизировать риски？ Возможно, разделите свои средства на несколько кошельков？ Это связано с другим набором рисков. Ничто не гарантировано на 100%. Будьте в курсе. Оставайтесь SAFU!»
Инцидент был связан с ошибкой в прошивке, датируемой мартом 2021 года, которая ослабляла случайность, используемую для генерации seed-фраз восстановления на некоторых моделях Coldcard. Злоумышленник смог восстановить приватные ключи офлайн и вывести средства, не получая при этом физического доступа к устройствам.
Первоначальные отчёты по блокчейну зафиксировали около 594 биткоинов (примерно 38 миллионов долларов по курсу того времени), переведённых с примерно 500 кошельков в течение примерно 25 минут 30 июля. Последующий анализ, проведённый Galaxy Research, расширил масштаб до 1 082,65 биткоина — стоимостью примерно 70 миллионов долларов — снятых с 1 196 адресов за примерно 41 минуту. Многие из затронутых кошельков были неактивны в течение нескольких лет.