Холодні гаманці більше не є безпечними: вразливість прошивки Coldcard, атака на ланцюг постачання Ledger — чи справді ваш BTC належить вам?
Ви витратили 1000 юанів на холодний гаманець, вважаючи, що ваші активи в безпеці. Протягом року дві події показали вам — холодний гаманець може бути справжньою часовою бомбою.
Перша бомба: Coldcard, ви навіть не торкалися пристрою, а гроші зникли.
У березні 2021 року канадський виробник апаратних гаманців Coinkite ввів смертельний дефект у прошивку Coldcard: при генерації мнемонічної фрази пристрій не використовував справжній апаратний генератор випадкових чисел, а застосовував програмний псевдовипадковий генератор. Простими словами — те, що ви вважали «випадковим», насправді не було випадковим. Зловмисникам не потрібно було навіть торкатися вашого пристрою або підключати його до інтернету, щоб математично масово вивести ваші мнемонічні фрази.
Перша атака сталася 30 липня 2026 року. За 25 хвилин близько 594 BTC зникли з 500 адрес. Це був лише початок. Потім відбулося щонайменше три хвилі атак, у результаті яких понад 1 816 BTC було виведено з більш ніж 5 200 адрес, збитки склали приблизно від 114 до 116 мільйонів доларів.
Користувачі повідомляли, що їхні Coldcard ніколи не підключалися до інтернету, мнемонічні фрази не були розкриті, але активи все одно були вкрадені. Офіційна відповідь Coinkite була лише одна: усі мнемонічні фрази, згенеровані з березня 2021 року, слід вважати потенційно скомпрометованими. Оновлення прошивки не допоможе — вже згенеровані мнемонічні фрази назавжди небезпечні, потрібно створювати нові мнемонічні фрази та переносити активи.
Друга бомба: Ledger, пристрій, який ви купили у дилера, можливо, був змінений.
9 жовтня користувачі Ledger зазнали масштабних крадіжок на суму понад 86 мільйонів доларів, що торкнулося сотень гаманців на Ethereum, TRON, Bitcoin та інших блокчейнах. У постраждалих була спільна риса: всі вони купували пристрої через дилера CryptoBilis у Південно-Східній Азії.
Колишній CEO Mt. Gox Марк Карпелес розібрав Ledger з Малайзії і виявив всередині додаткову плату з LTE-модулем та eSIM. Ця плата могла зчитувати сигнали, що відображаються на екрані, перехоплювати мнемонічні фрази під час ініціалізації пристрою та передавати їх через мобільну мережу.
Ви думали, що купуєте у «офіційного авторизованого дилера», але пристрій був розібраний, змінений і скомпрометований ще з моменту виробництва.
Ще гірше те, що безпекові припущення всієї інфраструктури DeFi поступово руйнуються.
Balancer вкрали 128 мільйонів доларів, Kelp DAO — 292 мільйони, Stream Finance втратив прив’язку синтетичного долара xUSD, загальна заблокована вартість Aave за 5 днів впала з 26 до 14,2 мільярда. Від кредитних протоколів до синтетичних доларів, від бірж до особистих апаратних гаманців — кожен, кого ви вважали «безпечним», за цей рік зазнав проблем.
Що робити? Три речі, зробіть їх сьогодні.
Перше — купуйте апаратні гаманці лише через офіційні канали. Не шукайте дешевше у дилерів, не купуйте у третіх осіб. Подія з Ledger вже показала, що атаки на ланцюг постачання ховаються за словами «авторизований дилер».
Друге — користувачі Coldcard мають негайно перевірити. Якщо ви генерували мнемонічні фрази на Coldcard після березня 2021 року, створіть новий гаманець і перенесіть активи. Старі мнемонічні фрази назавжди небезпечні.
Третє — для великих активів використовуйте мультипідписи. Гаманці з одною підписом були основною ціллю атак на Coldcard. Використовуйте 2 із 3 мультипідписів із Trezor Safe 7, Ledger Nano та Casa для відновлення ключів, щоб у разі проблеми з одним пристроєм ваші активи залишалися в безпеці. Не кладіть усі яйця в один кошик — і тим більше не довіряйте приватні ключі одному пристрою.
1011 навчив нас, що кредитне плече може вбивати. Цей рік навчив нас, що навіть холодний гаманець може зрадити вас.
На цьому ринку єдиний ворог безпеки — це ваша надія на удачу.
$BTC$ETH$ZEC#Ledger确认一台涉事设备遭硬件植入
Застереження. Вміст, опублікований на OKX Orbit, надається виключно в інформаційних цілях. Докладніше
