Хакери викрали біткоїни на суму понад $100 млн з апаратних гаманців Coldcard, які призначені для автономного зберігання криптовалюти. Ймовірною причиною стала помилка при створенні секретних фраз для доступу до коштів. Про це повідомляє CBC з посиланням на результати аналізу операцій у мережі біткоїна та дані фахівців з кібербезпеки.
Одна з найбільших хвиль крадіжок сталася 30 липня. За оцінкою Galaxy Research, менш ніж за 41 хвилину зловмисники вивели понад тисячу біткоїнів із 1196 гаманців. Пізніше дослідники виявили додаткові підозрілі операції.
Оцінки загальних збитків продовжують змінюватися в міру вивчення транзакцій. Деякі дослідники нарахували близько 1755 викрадених біткоїнів з кількох тисяч гаманців. Вартість цих активів на момент атак перевищувала $100 млн.
Coldcard — апаратний гаманець канадської компанії Coinkite. Пристрій зберігає приватні ключі окремо від комп'ютерів і смартфонів, підключених до інтернету, тому такий спосіб зберігання вважається більш захищеним порівняно з розміщенням криптовалюти на біржі або у звичайному програмному гаманці. Однак у цьому випадку зловмисникам, ймовірно, не знадобився фізичний доступ до пристроїв.
Дослідники виявили помилку в деяких версіях програмного забезпечення Coldcard, яка могла знижувати випадковість під час створення seed-фрази — набору слів, що дозволяє відновити доступ до гаманця. Через недостатню випадковість частина таких фраз могла виявитися передбачуваною. Отримавши seed-фразу, зловмисник може самостійно відновити гаманець і перевести біткоїни, що знаходяться на ньому, навіть не маючи самого пристрою.
Виробник визнав наявність помилки та випустив оновлення. При цьому просте встановлення нової версії програмного забезпечення не захищає гаманці, секретні фрази яких вже були створені за допомогою вразливої прошивки. Власникам Coldcard рекомендують встановити актуальне програмне забезпечення, створити абсолютно нову seed-фразу та перевести кошти на новий гаманець.
Імпорт старої фрази в інший пристрій не усуває загрозу, оскільки вразливість пов'язана з самою фразою, а не з конкретним апаратним гаманцем. Компанія продовжує встановлювати масштаб інциденту та взаємодіє з фахівцями з аналізу блокчейну та правоохоронними органами. Остаточна кількість постраждалих гаманців і точна сума викрадених коштів поки не підтверджені.
За матеріалами: CBC, Coldcard
