Неизвестные, похитившие Bitcoin с аппаратных кошельков Coldcard, начали переводить часть средств в эфир. Об этом сообщил глава исследовательского направления Galaxy Алекс Торн. По его словам, это первое подтвержденное движение монет с адресов злоумышленников за все три волны атак на устройства Coldcard. Как двигались украденные монеты Маршрут вывода выглядел так: Сбор средств: монеты попали на коллекторный […]
Неизвестные, похитившие Bitcoin с аппаратных кошельков Coldcard, начали переводить часть средств в эфир. Об этом сообщил глава исследовательского направления Galaxy Алекс Торн. По его словам, это первое подтвержденное движение монет с адресов злоумышленников за все три волны атак на устройства Coldcard.
Маршрут вывода выглядел так:
Алекс Торн отметил, что примерно 90% средств, похищенных во время третьей волны атак, пока остаются без движения. В нескольких случаях хакеры пытались вывести активы, но транзакции возвращались обратно.
Торн обратил внимание на нетипичное поведение хакеров. Они не просто оставили украденные монеты на адресах, а выстроили схему с мультиподписью 2-of-2. По сути, такие кошельки напоминают сейфы, для открытия которых нужны два ключа.
Каждый промежуточный перевод создавался с новой парой ключей. Такая тактика осложняет отслеживание маршрута средств и дает злоумышленникам больше контроля над выводом активов. Для владельцев любого криптовалютного кошелька это показывает, насколько серьезным может быть риск при проблемах на уровне ПО, прошивки или генерации seed-фразы.
Безопасность Coldcard держится на нескольких слоях: secure element, проверяемой прошивке с открытым исходным кодом, физической изоляции устройства и создании seed-фразы внутри кошелька. Такая архитектура снижает риск удаленного взлома: приватные ключи не должны уходить на компьютер или телефон, а критически важные операции остаются внутри устройства.
По оценке Galaxy, подтвержденный ущерб от взлома достиг примерно 1789 BTC, что соответствует $115 млн. Атаки затронули более 8800 адресов. Предположительно, было не меньше трех волн взломов.
Третья волна заметно отличалась от первых двух. Вместо сбора средств на одном адресе злоумышленники распределили монеты по сотням отдельных кошельков. Такой подход усложнил анализ движения Money и сделал картину атаки менее прозрачной.
Первая атака произошла 30 июля. Производитель Coldcard, компания Coinkite, признал, что некоторые версии прошивки, выпущенные с марта 2021 года, создавали сид-фразы более предсказуемо, чем предполагалось. В англоязычной терминологии речь идет о Seed и Passphrase, которые критически важны для защиты доступа к средствам.
Надежность аппаратного кошелька начинается с того, как он создает seed-фразу: если этот этап слабый, корпус и экран уже не спасают средства.
При этом устройства не были взломаны удаленно. По данным Coinkite, хакеры восстанавливали ключи офлайн. В контексте Computer hardware это особенно чувствительная история: даже если сам кошелек остается физически защищенным, слабость в генерации данных может поставить под угрозу Cryptocurrency.
Ситуация вокруг COLDCARD также вновь подняла вопрос о том, какие элементы особенно важны при создании надежных ключей:
Для пользователей главный вывод остается простым: безопасность аппаратного кошелька зависит не только от корпуса и экрана, но и от того, насколько надежно устройство создает и защищает секретные данные.
{ "@context": "https://schema.org", "@type": "Article", "about": [ { "@type": "Product", "name": "Coldcard" }, { "@type": "Organization", "name": "Coinkite" }, { "@type": "Thing", "name": "биткоин" }, { "@type": "Thing", "name": "криптовалютный кошелёк" }, { "@type": "Thing", "name": "прошивка" }, { "@type": "Thing", "name": "сид-фраза" }, { "@type": "Thing", "name": "парольная фраза" }, { "@type": "Thing", "name": "криптовалюта" }, { "@type": "Thing", "name": "аппаратный генератор случайных чисел" }, { "@type": "Thing", "name": "open-source по" } ] }
JOIN
