Coinkite, канадская компания, стоящая за аппаратным кошельком Coldcard, предупредила пользователей, что их биткоины могут оказаться под угрозой, если seed-фраза кошелька была сгенерирована на определённых затронутых версиях прошивки.

Компания сообщила, что проблема затрагивает все релизы прошивки Mk3, начиная с версии 4.0.1, выпущенной в марте 2021 года, и связана с энтропией, генерируемой устройством при создании seed-фраз.

Средства по-прежнему под угрозой

Seed-фразы, сгенерированные на Mk4 и Mk5 до версии прошивки 5.6.0, а также на Q до версии 1.5.0Q, также затронуты, хотя Coinkite заявила, что влияние на эти модели менее серьёзное, но всё же остаётся значительным. По данным компании, затронутые seed-фразы имеют около 72 бит энтропии вместо ожидаемых 128 бит. Согласно обновлению, TAPSIGNER, OPENDIME и SATSCARD не затронуты, поскольку используют другие кодовые базы.

Coinkite призвала пользователей затронутых устройств перевести свои средства на заново сгенерированную seed-фразу на незатронутом устройстве. Компания заявила, что пользователям Mk4 и Mk5 сначала следует обновиться до прошивки версии 5.6.0 или новее, а пользователям Q — установить версию 1.5.0Q или новее перед генерацией новой seed-фразы.

Пользователям также посоветовали сделать резервную копию и проверить новую seed-фразу, подтвердить новый адрес получения на устройстве и отправить небольшую тестовую транзакцию перед переводом оставшихся средств. Если Mk3 является единственным доступным вариантом, рекомендуется временно использовать надёжную уникальную парольную фразу BIP-39 и тщательно проверять отпечаток кошелька и адрес получения.

Крупномасштабная кража

Предупреждение появилось после того, как 30 июля возникло несколько сообщений о том, что биткоины были выведены из кошельков Coldcard. Atlas21 сообщила, что автоматизированная операция вывела средства с 500 адресов с одной подписью в четырёх последовательных блоках, с 960188 по 960191. Транзакции переместили 1324 UTXO на общую сумму 594,5 BTC, что по текущим ценам составляет около 38 миллионов долларов. Данные указывали на слабые приватные ключи, сгенерированные при создании кошельков.

Среди пострадавших не было ни мультиподписных, ни Taproot-кошельков.

Медианная потеря составила 0,41 BTC, при этом 110 пострадавших потеряли более одного биткоина. Самая крупная потеря составила 29,9 единиц криптоактива, а сама операция обошлась примерно в 0,044 единицы в виде комиссий за транзакции. Atlas21 сообщила, что первое публичное предупреждение поступило от пострадавшего на Reddit, который рассказал, что его Coldcard сгенерировал 24-словную seed-фразу в 2021 году и что эта фраза никогда не вводилась на компьютере.

Несмотря на массовый вывод, цена биткоина осталась невозмутимой, продолжая торговаться около 64 000 долларов.

Источник: CryptoPotato