Уязвимость в аппаратном кошельке Coldcard: миллионы долларов украдено

Введение: Аппаратные кошельки являются одним из наиболее безопасных способов хранения криптовалют, таких как биткоин. Coldcard является одним из лидеров в этой области, но недавно было обнаружено, что две мелкие ошибки в конфигурации сборки прошивки привели к уязвимости в генераторе случайных чисел. Эта уязвимость позволила хакерам получить доступ к средствам пользователей, что привело к значительным финансовым потерям.

Подробности

Уязвимость была обнаружена в моделях Mk2-Mk5 аппаратного кошелька Coldcard. Две ошибки в конфигурации сборки прошивки отключили аппаратный генератор случайных чисел и заставили устройство использовать программный генератор 2005 года. Это свело генерацию сид-фразы к эффективной энтропии в ~23 бита, что является очень небольшим пространством, которое можно перебрать за пару часов на встроенной графике обычного ноутбука. Благодаря этой уязвимости хакеры смогли получить доступ к средствам пользователей и украсть около 90,5 млн долларов.

Что делать

Пользователям аппаратного кошелька Coldcard рекомендуется немедленно проверить свои средства и принять меры для защиты своих активов. Это может включать в себя обновление прошивки устройства, использование дополнительных мер безопасности, таких как многофакторная аутентификация (MFA), и регулярный мониторинг своих счетов. Итог: Уязвимость в аппаратном кошельке Coldcard является напоминанием о том, что даже наиболее защищённые устройства могут быть уязвимы для атак. Пользователям важно быть бдительными и принимать меры для защиты своих активов.

Источник: Хабр — Информационная безопасность