Хакеры похитили биткоины из кошельков Coldcard на $110 млн

Хакеры обнаружили уязвимость в ПО «холодных» биткоин-кошельков Coldcard — устройств, которые считались одним из самых безопасных способов хранения криптовалюты, — и выводят из них десятки миллионов долларов. По данным Galaxy Research, на которые ссылается Bloomberg, к понедельнику, 3 августа, было выведено более 1 755 BTC на сумму около $110 млн примерно с 5 000 кошельков.

Канадская Coinkite, оператор кошельков Coldcard, 31 июля уведомила пользователей о том, что уязвимость в генерации ключей скомпрометировала часть кошельков. Coinkite заявила, что уже выпустила исправленную прошивку для всех затронутых моделей.

3 августа руководитель отдела общекорпоративных исследований криптокомпании Galaxy Research Алекс Торн заявил о начале четвертой волны атак и настоятельно рекомендовал всем владельцам кошельков Coldcard незамедлительно вывести с них средства. 1 августа Торн заявлял, что компания уже передала около 600 адресов предполагаемых злоумышленников федеральным следователям, комплаенс-организациям и специалистам по кибербезопасности из разных отраслей.

По данным финтех-компании Block, ключевая проблема заключалась в том, как Coinkite реализовала генератор случайных чисел при создании ключей доступа к кошельку. Безопасность средств основывалась на абсолютно случайной генерации ключей, однако в кошельках Coldcard был предусмотрен резервный механизм, который в определенных случаях приводил к формированию ключей на основе предсказуемых, детерминированных значений — например, серийных номеров устройств.

Джонатан Гудман, один из держателей взломанных кошельков, рассказал Bloomberg, что сначала не думал, что атака его коснется, но на всякий случай проверил баланс. «В тот момент, когда кошелек загрузился, я понял, что мне конец, — увидел красные линии выводов средств. Между 21:36 и 21:43 29 июля все три моих кошелька были полностью опустошены», — сказал он.

Для Гудмана произошедшее стало поводом усомниться в «слепой вере» в используемые технологии — он заявил, что больше не будет инвестировать в биткоин и пользоваться холодными кошельками. «Если все настолько сложно и технично, возможно, этим не стоит заниматься вообще, — сказал он. — По сути, никто толком не понимает, как что работает».

^{Фото на обложке: Pungu x / Shutterstock.com}