Аппаратный кошелек Coldcard, считавшийся одним из самых защищенных решений для хранения криптовалюты, оказался под ударом из-за ошибки в генерации ключей. Уязвимость позволила злоумышленнику вычислить сид-фразы, которые теоретически невозможно было подобрать, и за 25 минут похитить 594 BTC — примерно 38 миллионов долларов.

Проблема кроется в программном обеспечении, отвечающем за создание энтропии при генерации ключей. Из-за дефекта сид-фразы становились предсказуемыми, несмотря на кажущуюся случайность. Это полностью нивелирует главное преимущество аппаратных кошельков — защиту от удаленного взлома, так как атака не требовала физического доступа к устройству.

Судя по всему, уязвимость существовала в определенных партиях устройств или при использовании конкретных прошивок. Злоумышленник, обнаруживший баг, смог автоматизировать подбор и вывести средства до того, как владельцы заметили пропажу. На данный момент неизвестно, сколько всего кошельков могло быть скомпрометировано, но похищенная сумма указывает на то, что атака была целенаправленной и масштабной.

Производителю Coldcard предстоит выпустить срочное обновление прошивки и разобраться, как такая ошибка могла попасть в код, учитывая репутацию компании. Пользователям, использующим эти устройства, рекомендуется немедленно проверить свои сид-фразы и переместить средства на другие кошельки до выяснения всех обстоятельств. Инцидент ставит под сомнение надежность даже самых «непробиваемых» аппаратных решений и, вероятно, спровоцирует волну проверок во всей индустрии.