Серйозна уразливість гаманця біткойнів видобула 594 BTC за 25 хвилин

Протягом короткого проміжку часу з 01:31 до 01:56 за всесвітнім часом у п’ятницю було вкрадено приблизно 594 біткоїни, вартість яких становить близько 38 мільйонів доларів, з понад 500 окремих гаманців.

Цей злочин стався через вразливість у тому, як апаратні гаманці Coldcard генерували свої ключі.

Злочинці виконали 500 транзакцій, внаслідок яких 1,324 частини біткоїна були переміщені, а 562 $BTC були консолідовані в одну адресу, яка наразі не активна. Усі втрачені гаманці мали одноосібний підпис і містили більше ніж 0,15 $BTC, багато з них були неактивні протягом декількох років, а втрачені монети походили з 2021 до 2026 року, що майже точно збігається з віком вразливості.

Coldcard — це апаратний гаманець, розроблений канадською компанією Coinkite, що зберігає ключі біткоїнів офлайн, поза досяжністю комп'ютерів, підключених до Інтернету.

Вразливість не залежала від термінів покупки пристрою, а від програмного забезпечення, яке воно використовувало під час створення гаманця.

Згідно з доповіддю команд інжинірингу та безпеки Block, один з параметрів налаштувань вказував на пропуск генератора випадкових чисел пристрою, що призводило до генерації ключів через базовий програмний замінник, який не забезпечував належної секретності. Coinkite попередила користувачів, які генерували насіння на гаманцях Mk3, що працювали під управлінням версії 4.0.1 або новішої, зазначивши, що моделі Mk4, Q і Mk5 не постраждали на основі попереднього аналізу.

Витік інформації стосується не лише насіння гаманців, але й приватних ключів паперових гаманців Coldcard.