Bitcoin Magazine

УГРОЗА БЕЗОПАСНОСТИ COLDCARD: ТРЕБУЮТСЯ НЕМЕДЛЕННЫЕ ДЕЙСТВИЯ

Во-первых, да, это очень кликбейтный и совершенно нетипичный заголовок. Но это реальная проблема безопасности. Ниже — официальное сообщение от самой Coinkite, опубликованное вчера; пожалуйста, прочтите его и убедитесь в подлинности проблемы там.

Коротко: кошельки Coldcard MK3, MK4, MK5 и Q опустошаются. Ошибка позволяет злоумышленникам вычислить вашу seed-фразу без каких-либо действий с вашей стороны. В безопасности только те кошельки, которые были сгенерированы методом броска костей, при условии что вы бросили не менее 50 костей. Если вы не знаете, не помните или не уверены — немедленно переводите свои средства.

Это критическая проблема, требующая немедленных действий. Если вы использовали Coldcard для генерации словесной seed-фразы и НЕ использовали рекомендованные 50+ бросков костей для добавления собственной энтропии после конца 2020 года, ваша seed-фраза небезопасна. Она была сгенерирована с недостаточным количеством случайности, и злоумышленник может подобрать её перебором. Кошельки опустошаются прямо сейчас. Эта проблема также затрагивает любые эфемерные ключи и сессионные ключи для функций Clone Coldcard или Key Teleport, а также seed-фразы BIP 85, сгенерированные из скомпрометированной seed-фразы. ВЫ ВСЁ РАВНО ДОЛЖНЫ ПЕРЕВЕСТИ СВОИ СРЕДСТВА. 

Эта атака активно эксплуатируется: с уязвимостью связано перемещение около 1000 BTC в блокчейне. 

Вдохните и успокойтесь. Чтобы обезопасить свои средства, вы должны перевести их на новую словесную seed-фразу или на seed-фразу, сгенерированную другим устройством.

–   Если у вас есть другой аппаратный кошелёк, не Coldcard, отправьте средства туда. Это самый быстрый и простой способ переместить их в безопасное место.

– Если у вас нет другого аппаратного кошелька и есть только Coldcard, создайте парольную фразу (passphrase), используя как МИНИМУМ шесть seed-слов из списка слов BIP 39. Воспользуйтесь этим руководством для выбора слов парольной фразы, НЕ выбирайте их сами. Проверьте отпечаток (fingerprint) кошелька (или адрес), выключите устройство, перезапустите его и снова введите парольную фразу. Убедитесь, что отпечаток (или адрес) совпадает, и отправьте средства на кошелёк с парольной фразой. Это не постоянное решение. Оно лишь даёт вам достаточную защиту, чтобы злоумышленник не смог подобрать ваши ключи перебором за несколько дней, и вы могли без паники сгенерировать новую seed-фразу. Обязательно надёжно запишите свою парольную фразу.

–   Если у вас нет других вариантов или вам вообще некомфортно пользоваться устройством, есть кошелёк Nunchuck, доступный на мобильных устройствах и десктопе. Не торопитесь, не спешите и убедитесь, что все резервные копии сделаны правильно. После проверки резервных копий отправьте средства в этот кошелёк. Если вы управляете значительными суммами, Nunchuck поддерживает мультиподпись (multisig). Вы можете создать её, используя несколько устройств. Blockstream Green и Bluewallet — ещё два варианта программных кошельков. 

Как только ваши средства в безопасности, уделите минуту и расслабьтесь. Coldcard по-прежнему безопасно использовать, если словесная seed-фраза генерируется надёжным способом. Патч прошивки уже выпущен здесь. Любая словесная seed-фраза, сгенерированная после этого обновления прошивки, должна быть безопасной (и вы также можете использовать опцию броска костей). Если вы перевели средства в горячий кошелёк или что-то менее безопасное, вашим Coldcard можно безопасно пользоваться после установки обновления прошивки и генерации новой seed-фразы.

После того как вы обезопасили собственные средства, остановитесь и оцените ситуацию. Проактивно свяжитесь со всеми, кого знаете и кто мог пользоваться Coldcard, который был уязвим на момент генерации их seed-фразы. Сообщите им о проблеме и, если нужно (и если вы способны на это), помогите им перенести средства. Не все регулярно следят за новостями о биткоине, поэтому многие могут даже не подозревать, что они уязвимы.

Эта публикация УГРОЗА БЕЗОПАСНОСТИ COLDCARD: ТРЕБУЮТСЯ НЕМЕДЛЕННЫЕ ДЕЙСТВИЯ впервые появилась на Bitcoin Magazine, автор — Shinobi.

Источник: BitcoinMagazine