Сбой в Coldcard: из-за ошибки в прошивке хакеры вывели более $88 млн в биткоинах

Аппаратный кошелек принято считать самым безопасным способом хранения криптовалюты. Но владельцам Coldcard это не помогло. Из-за ошибки в старой прошивке хакеры смогли подобрать часть seed-фраз и вывести с кошельков до $88,6 млн в BTC.

Проблема появилась еще в 2021 году. Во время создания нового кошелька некоторые устройства генерировали недостаточно случайные seed-фразы. Этого оказалось достаточно, чтобы злоумышленники перебрали возможные комбинации, нашли подходящие Bitcoin-адреса и постепенно вывели с них деньги.

По данным Galaxy Research, атака прошла в несколько этапов. Всего пострадало более 4500 кошельков, а ущерб оценивается в $86–88,6 млн.

Компания Coinkite уже выкатила обновления прошивки для моделей Mk3, Mk4, Mk5 и Q. Но есть одна проблема: если seed-фраза была создана на уязвимой версии прошивки, обычное обновление уже не поможет.

Поэтому владельцам таких кошельков рекомендуют не ограничиваться установкой новой прошивки, а создать новый кошелек с новой seed-фразой и перевести на него все средства. Иначе риск остается даже после обновления.