„Coldcard“ gamintojas nepatvirtina 130 mln. dolerių nuostolių dėl įsilaužimo

Įsilaužėliai pavogė nuo 1 596 iki 1 816 bitkoinų, kurių vertė siekia nuo 100 iki 130 mln. JAV dolerių, iš daugiau nei 7 300 adresų, susietų su „Coldcard“ aparatinėmis piniginėmis. Tai didžiausias tokio pobūdžio įsilaužimas kriptovaliutų istorijoje. Nuo liepos 30 d. vykusi ataka išnaudojo penkerių metų senumo programinės įrangos spragą, kuri susilpnino piniginės pradinių frazių generavimo atsitiktinumą, leisdama užpuolikams nulaužti privačius raktus neturint fizinės prieigos prie įrenginio.crypto+2

Toronte įsikūrusi „Coinkite“, „Coldcard“ gamintoja, trečiadienį „Bloomberg“ atsisakė patvirtinti konkrečius nuostolių skaičius. „Mes negalime nepriklausomai patvirtinti bendrų nuostolių ar pagrįsti trečiųjų šalių pateikiamų duomenų“, – teigė bendrovė.bloomberg

Kaip viena kodo eilutė viską sugadino

Pažeidžiamumas siejamas su 2021 m. kovo mėn. programinės įrangos atnaujinimu, kuriame atsirado konfigūracijos klaida. Makrokomanda „MICROPY_HW_ENABLE_RNG“, nustatyta į nulį, privertė kriptografinę biblioteką aplenkti specialų įrenginio atsitiktinių skaičių generatorių ir naudoti nuspėjamą programinį pakaitalą. Rezultatas: „Mk3“ įrenginiuose pradinės frazės buvo generuojamos su maždaug 40 bitų entropija vietoj numatytų 128 bitų, todėl saugumas sumažėjo nuo praktiškai neįveikiamo iki tokio, kurį kompiuteris gali nulaužti per kelias minutes.memeburn+1

„Block“ ↘ 3.68% bitkoinų saugumo komanda paskelbė visą techninę ataskaitą po to, kai kartu su anoniminiais nepriklausomais tyrėjais išaiškino spragą. „Galaxy Research“ užfiksavo keturias atakų bangas: pirmoji liepos 30 d. per 41 minutę pasisavino 1 082 BTC iš 1 196 adresų; vėlesnės bangos iki rugpjūčio 4 d. padidino patvirtintus nuostolius iki 1 596 BTC, o įtariama ketvirtoji banga bendrą sumą gali padidinti iki 2 055 BTC.crypto+2

Aukos viską darė teisingai

Žiauriausia šio pažeidimo ironija yra ta, kad jis palietė pačius atsargiausius bitkoinų savininkus. „Turbūt sunkiausia tai, kad aš viską dariau teisingai“, – socialiniame tinkle „X“ rašė Kanados verslininkas Jonathanas Goodmanas, praradęs 18,25 BTC, kurių vertė siekia apie 1,6 mln. Kanados dolerių, laikytų „Coldcard“ piniginėje seife. Timas Lambas, 38 metų rinkodaros specialistas, kurio pradinė frazė buvo iškalta metalinėje plokštelėje, paslėptoje netikrame žodyne, atostogų metu prarado du bitkoinus, vertus apie 130 000 JAV dolerių.news.bloomberglaw+1

„Coinkite“ generalinis direktorius Rodolfo Novakas liepos 31 d. „X“ tinkle atsiprašė: „Žinome, kad atsiprašymas niekam negrąžins lėšų. Žinome, kad turėsime iš naujo užsitarnauti vartotojų pasitikėjimą.“ Bendrovė išleido skubų programinės įrangos atnaujinimą, sunaikino likusias pažeidžiamas atsargas ir sustabdė siuntas, tačiau įspėjo, kad atnaujinimas neištaiso pradinių frazių, kurios jau buvo sugeneruotos naudojant pažeistą programinę įrangą.crypto+2

Pasekmės keičia diskusijas apie savarankišką saugojimą

Šis įsilaužimas pakeitė dvejus metus trukusią tendenciją, kai bitkoinai buvo išvedami iš biržų. „CryptoQuant“ pranešė, kad liepos 31 d. pervedimai, mažesni nei 1 BTC, pasiekė 39 600 BTC, o tai artima panikos lygiui, stebėtam per „FTX“ žlugimą 2022 m. „Cantor Fitzgerald“ klientams nurodė, kad įsilaužimas gali nukreipti paklausą į valdomas saugojimo paslaugas ir „spot“ bitkoinų ETF, tokius kaip „BlackRock“ ↘ 0.54% „iShares Bitcoin“ ↘ 0.29% fondas, tarp galimų naudos gavėjų paminėdami „Coinbase“ ↘ 1.46% ir „Robinhood“ ↘ 1.25%.thestreet+1

Apie 90 proc. pavogtų lėšų vis dar guli užpuolikų kontroliuojamuose adresuose, nors analitikai nustatė vieną veikėją, pradedantį nukreipti apie 64 BTC per „Wasabi Wallet“ „CoinJoin“ maišyklę. „Galaxy Research“ pasidalijo apie 600 įtariamų užpuolikų adresų su JAV federaline teisėsauga ir kriptovaliutų biržomis.coinpaper+2