Coldcard-ის მწარმოებელმა 130 მილიონი დოლარის ჰაკერული თავდასხმის შედეგად მიყენებული ზარალის დადასტურებაზე უარი თქვა

ჰაკერებმა Coldcard-ის აპარატურულ საფულეებთან დაკავშირებული 7 300-ზე მეტი მისამართიდან დაახლოებით 1 596-დან 1 816-მდე ბიტკოინი მოიპარეს, რაც 100-დან 130 მილიონ დოლარამდე ღირს. ეს კრიპტოვალუტის ისტორიაში აპარატურული საფულის ყველაზე მასშტაბური ექსპლოიტია. თავდასხმამ, რომელიც 30 ივლისს დაიწყო, გამოიყენა ხუთი წლის წინანდელი პროგრამული ხარვეზი, რომელმაც შეასუსტა საფულის სათესლე ფრაზების გენერირებისთვის გამოყენებული შემთხვევითობა, რაც თავდამსხმელებს საშუალებას აძლევდა, ფიზიკური მოწყობილობის შეხების გარეშე გაეტეხათ პირადი გასაღებები.crypto+2

ტორონტოში დაფუძნებულმა კომპანია Coinkite-მა, Coldcard-ის მწარმოებელმა, ოთხშაბათს Bloomberg-ისთვის მიცემულ განცხადებაში უარი თქვა ზარალის კონკრეტული ციფრების დადასტურებაზე. "ჩვენ არ გვაქვს შესაძლებლობა დამოუკიდებლად დავადასტუროთ საერთო ზარალი ან დავაზუსტოთ მესამე მხარის მიერ გავრცელებული მონაცემები", – განაცხადა კომპანიამ.bloomberg

როგორ გაანადგურა ყველაფერი კოდის ერთმა ხაზმა

მოწყვლადობა 2021 წლის მარტის პროგრამული უზრუნველყოფის განახლებას უკავშირდება, რომელმაც კონფიგურაციის შეცდომა შეიტანა. მაკრომ სახელად MICROPY_HW_ENABLE_RNG, რომელიც ნულზე იყო დაყენებული, გამოიწვია ის, რომ დამხმარე კრიპტოგრაფიულმა ბიბლიოთეკამ გვერდი აუარა მოწყობილობის სპეციალურ აპარატურულ შემთხვევითი რიცხვების გენერატორს და გადავიდა პროგნოზირებად პროგრამულ ალტერნატივაზე. შედეგი: Mk3 მოწყობილობებზე სათესლე ფრაზები გენერირდებოდა დაახლოებით 40-ბიტიანი ენტროპიით, ნაცვლად დაგეგმილი 128 ბიტისა, რამაც უსაფრთხოება პრაქტიკულად გაუტეხელი საკეტიდან ისეთ დონემდე შეამცირა, რომლის გატეხვაც კომპიუტერს წუთებში შეეძლო.memeburn+1

Block ↘ 3.68%-ის ბიტკოინის უსაფრთხოების გუნდმა სრული ტექნიკური ანალიზი მას შემდეგ გამოაქვეყნა, რაც ანონიმურ დამოუკიდებელ მკვლევრებთან ერთად ხარვეზის კვალი აღმოაჩინა. Galaxy Research-მა თავდასხმის ოთხი ტალღა დააფიქსირა: პირველმა, 30 ივლისს, 41 წუთში 1 196 მისამართიდან 1 082 BTC გაიტაცა; შემდგომმა ტალღებმა 4 აგვისტომდე დადასტურებული ზარალი 1 596 BTC-მდე გაზარდა, ხოლო სავარაუდო მეოთხე ტალღამ შესაძლოა საერთო რაოდენობა 2 055 BTC-მდე გაზარდოს.crypto+2

მსხვერპლმა ყველაფერი სწორად გააკეთა

ამ დარღვევის ყველაზე სასტიკი ირონია ისაა, რომ მან ბიტკოინის ყველაზე უსაფრთხოებაზე ორიენტირებული მფლობელები დააზარალა. "ალბათ ყველაზე რთული ის არის, რომ ყველაფერი სწორად გავაკეთე", – დაწერა კანადელმა მეწარმემ ჯონათან გუდმანმა X-ზე მას შემდეგ, რაც დაკარგა 18,25 BTC, რაც დაახლოებით 1,6 მილიონი კანადური დოლარია, საბანკო სეიფში შენახული Coldcard-იდან. ტიმ ლემბმა, 38 წლის მარკეტოლოგმა, რომლის სათესლე ფრაზაც ყალბ ლექსიკონში დამალულ მეტალის ფირფიტაზე იყო ამოტვიფრული, შვებულების დროს ორი ბიტკოინი დაკარგა, რაც დაახლოებით 130 000 დოლარია.news.bloomberglaw+1

Coinkite-ის აღმასრულებელმა დირექტორმა როდოლფო ნოვაკმა 31 ივლისს X-ზე ბოდიში მოიხადა: "ვიცით, რომ ბოდიში არავის დაუბრუნებს თანხებს. ვიცით, რომ მომხმარებლების ნდობა თავიდან უნდა დავიმსახუროთ". კომპანიამ გამოსცა საგანგებო პროგრამული უზრუნველყოფა, გაანადგურა დარჩენილი მოწყვლადი ინვენტარი და შეაჩერა მიწოდება, თუმცა გააფრთხილა, რომ განახლება ვერ გამოასწორებს იმ სათესლე ფრაზებს, რომლებიც უკვე გენერირებული იყო კომპრომეტირებული პროგრამული უზრუნველყოფით.crypto+2

შედეგები ცვლის დებატებს თვითმმართველობის შესახებ

ამ დარღვევამ შეცვალა ბიტკოინის ბირჟებიდან გატანის ორწლიანი ტენდენცია. CryptoQuant-ის ცნობით, 31 ივლისს 1 BTC-ზე ნაკლები გადარიცხვები 39 600 BTC-მდე გაიზარდა, რაც 2022 წელს FTX-ის კრახის დროს დაფიქსირებული პანიკის დონეს უახლოვდება. Cantor Fitzgerald-მა კლიენტებს განუცხადა, რომ ჰაკერულმა თავდასხმამ შესაძლოა მოთხოვნა მართვადი მეურვეობის პროვაიდერებისა და Spot Bitcoin ETF-ებისკენ მიმართოს, როგორიცაა BlackRock ↘ 0.54%-ის iShares Bitcoin ↘ 0.29% Trust, და პოტენციურ ბენეფიციარებად Coinbase ↘ 1.46% და Robinhood ↘ 1.25% დაასახელა.thestreet+1

მოპარული თანხების დაახლოებით 90 პროცენტი კვლავ თავდამსხმელების მიერ კონტროლირებად მისამართებზეა, თუმცა ანალიტიკოსებმა დაადგინეს ერთი აქტორი, რომელმაც დაიწყო დაახლოებით 64 BTC-ის გადამისამართება Wasabi Wallet-ის CoinJoin მიქსერის მეშვეობით. Galaxy Research-მა აშშ-ის ფედერალურ სამართალდამცავ ორგანოებსა და კრიპტობირჟებს თავდამსხმელთა დაახლოებით 600 საეჭვო მისამართი გადასცა.coinpaper+2