Эксплойт Coldcard: 15 атак привели к потерям $100 млн, возможна четвертая волна

Аналитическая компания Galaxy Research сообщила, что минимум 15 различных злоумышленников воспользовались уязвимостью аппаратного кошелька Coldcard. По оценке компании, суммарный ущерб от инцидента уже превысил $100 млн в биткоинах, и есть признаки четвертой волны атак, которая может довести потери до $130 млн.

По словам руководителя исследовательского отдела Galaxy Digital Алекса Торна, новые данные получены благодаря сообщениям пострадавших пользователей. В одном из случаев жертва потеряла менее 1 BTC, однако это позволило выявить ранее неизвестную атаку, в ходе которой с 126 адресов было выведено 12 BTC.

Эксплойт затронул процесс генерации приватного ключа. Как отмечает сооснователь исследовательской компании Castle Labs Франческо, в Coldcard использовался уровень энтропии ключа всего 40 бит, что значительно ниже стандартных 128 бит, характерных для большинства других кошельков. Это стало результатом ошибки в прошивке, что облегчило задачу злоумышленникам.

Тем временем управляющий партнер Dragonfly Хасэб Куреши предположил, что примерно $2, потраченные на «усиление с помощью ИИ», могли бы предотвратить эксплойт. Он сослался на сообщения в соцсетях о том, что некоторые модели ИИ смогли воспроизвести уязвимость менее чем за 20 минут. Однако представитель платформы Tokenomist Татсапат Саэреджиттима усомнился в этих данных, отметив, что подобные заявления основаны на тестах, проведенных уже после публикации информации о проблеме, без слепой проверки и задокументированной методологии.

Инцидент с Coldcard возобновил дискуссию о безопасности аппаратных кошельков и о том, насколько безопасно для пользователей самостоятельно хранить биткоины. По данным Galaxy Research, подтверждены три волны атак, а четвертая находится на стадии изучения.

В Cointelegraph напоминают, что ранее глава службы безопасности Kraken указал на пятилетний срок существования проблемы и недостатки в тестировании аппаратных кошельков. Однако точные сроки устранения уязвимости и полное число пострадавших пока не раскрываются.