Владельцы аппаратных кошельков теряют деньги: нюансы холодного хранения биткоинов в 2026 году

[News Bot]

 

В последние месяцы от атак хакеров и других злоумышленников пострадали сразу несколько производителей аппаратных кошельков. Многие тысячи людей, выбравших холодный способ хранения активов, либо потеряли средства, либо оказались под угрозой. Может, в 2026 году пора выбрать другой вариант сохранения биткоинов и альткоинов?

Первой от волны хакерских атак пострадали аппаратные хранилища Coldcard канадской компании Coinkite. Уже в первый день владельцы устройств лишились 1082,65 BTC на сумму свыше $70,2 млн. Всего, по разным оценкам, потери составили 1778,84 BTC до 2417,35 BTC ($115-$153 млн). 

 

Проблема заключалась в генерации сид-фразы. По умолчанию она должна создаваться случайным образом. На деле в результате ошибки прошивки сид-фразу можно было подобрать брутфорсом (методом перебора комбинаций). Показатель длины криптографической энтропии с положенных 128 бит сократился у одной части устройств до 72 бит, а у другой и вовсе до 40 бит. Проблема источника энтропии заключалась в учете некоторых типовых данных, включая временные значения при использовании программного генератора, вместо необходимого аппаратного — в результате чего угроза для приватных ключей возросла. 

 

Интересно, что сама уязвимость возникла очень давно — в 2021 году. Иными словами, целых пять лет злоумышленники гипотетически могли ею воспользоваться, но предприняли конкретные шаги только сейчас. Отметим, модели устройств Coldcard пострадали в разной степени. Наибольший удар пришелся на старые версии: Mk2 и Mk3.

 

 

Подробнее: https://bits.media/vladeltsy-apparatnykh-koshelkov-teryayut-dengi-nyuansy-kholodnogo-khraneniya-bitkoinov-v-2026-godu/

[Mask]

Вот это поворот, владельцы аппаратных кошельков тратили на них деньги и теперь теряют крипту, а владельцы программных кошельков, скачали бесплатно и не теряют так.

 

Когда владелец программного кошелька теряет всё же крипту, то это он сам виноват, поскольку пустил вирусы, лазил по фишинговым сайтам и пр.

Когда владелец аппаратного кошелька теряют крипту, то виновные не находятся.

[zlg]

Автор, может хватит кидаться "желтыми" заголовками. Был косяк только у одного производителя холодных кошельков, от чего действительно украли биткоины. Все. У других холодных кошельков ничего подобного не происходило. С чего вдруг надо кидаться в крайность и отказываться от холодных кошельков? 

[Mask]

29 минут назад, zlg сказал:

С чего вдруг надо кидаться в крайность

Особенно это:

Цитата

Если первоначально кошелек был создан на уязвимом Coldcard, а затем резервная версия импортирована или восстановлена на Trezor, цифровые активы такого пользователя могут быть в опасности.

Какой дурак будет таким заниматься? В крайнем случае, что бы перевести на адрес из сид Trezor.

30 минут назад, zlg сказал:

и отказываться от холодных кошельков?

Так если крипта в РФ теперь как бы и не нужна, зачем теперь вообще эти кошельки?

Цифровой рубль не требует этих кошельков, а остальная крипта должна хранится у проверенного кастодианта.

[alevlaslo]

Ну псевдо гсч нельзя доверять генерацию, надо мышью водить по экрану минуту 

[Mask]

47 минут назад, alevlaslo сказал:

Ну псевдо гсч нельзя доверять генерацию, надо мышью водить по экрану минуту 

Нормальные кошельки для генерации сид используют физический шум чипа, превращая его в энтропию, затем кодируют в БИП39.

Каждый чип при производстве имеет уникальные дефекты, из-за них не может быть 2-х одинаковых чипов. В Coldcard тоже имеются эти чипы и они тоже умеют генерировать уникальные сид, на основе своего индивидуального шума. Но из-за бага в прошивке, сид генерировалась не в чипе, а в программном генераторе. Из-за MicroPython при сборке прошивки произошёл баг и она собралась с отключенным генерированием сид в крипточипе и генерировалась программно. Программный генератор в MicroPython базово вшит в языке. Хакеры нашли математическую закономерность и вскрыли кошельки.

Во-первых, у разработчиков не было проверки на наличие включенного крипточипа, в противном случае, такого бы не случилось. Уже исправив баг, они включили проверку, если крипточип не подключен, сид не будет генерироваться. Во-вторых, у них до определённого времени прошивки были открыты и всякие баги так же находили в сообществе. Затем они закрыли код.

[camelion77]

11 часов назад, Mask сказал:

Coldcard

Я впервые услышал про такой, если бы не проблемы у него то и не узнал. Есть же нормальные проверенные временем фирмы, зачем ЭТО? Наверно фанаты SAAB его покупают.