Coinkite признала уязвимость прошивки Coldcard: украдено около $90 млн в BTC

Производитель аппаратных кошельков Coinkite подтвердил: с 2021 года часть устройств Coldcard из-за ошибки в прошивке создавала сид-фразы предсказуемым образом, а не случайным. Об этом сообщает Incrypted со ссылкой на заявление компании.

Масштаб последствий оценила Galaxy Research: речь идёт о краже примерно $90 млн в BTC. Иными словами, уязвимость в генерации ключей позволила злоумышленникам восстановить доступ к средствам части владельцев.

Аппаратные кошельки хранят ключи офлайн, но их стойкость целиком зависит от качества генерации случайных чисел при первичной настройке. Ошибка такого рода обесценивает саму модель холодного хранения: сид-фраза перестаёт быть секретом, который невозможно подобрать.

Держателям Coldcard стоит проверить, как создавалась их сид-фраза, и оценить риски. Издание не даёт инвестиционных советов: при угрозе компрометации ключей безопаснее исходить из худшего сценария и перевести средства на новый кошелёк с заведомо случайной генерацией.