Po 70 mln. dolerių „Coldcard“ spragos CZ ragina skaidyti kriptovaliutų lėšas

„Binance“ įkūrėjas Changpeng Zhao paragino kriptovaliutų savininkus paskirstyti savo lėšas per kelias pinigines po to, kai dėl „Coldcard“ aparatinių piniginių programinės aparatinės įrangos klaidos piktadarys maždaug per 40 minučių ištuštino apie 70 mln. JAV dolerių vertės bitkoinų.

„Net aparatinės piniginės gali turėti klaidų. Net senos piniginės (su ilga istorija) gali turėti klaidų“, šeštadienį socialiniame tinkle „X“ rašė Zhao. „Kaip sumažinti riziką? Galbūt padalyti lėšas į kelias pinigines? Tai susiję su kitokia rizika. Nieko nėra 100 proc. Būkite informuoti. Būkite SAFU!“cryptonews+1

Ataka

Vagystė prasidėjo liepos 30 d., kai užpuolikas pasinaudojo tam tikrų „Coldcard“ modelių kriptografinių raktų generavimo klaida. Pirminė grandinės (angl. on-chain) analizė parodė, kad per 25 minučių langą iš maždaug 500 piniginių buvo paimta apie 594 bitkoinai (apie 38 mln. JAV dolerių vertės), pranešė „CoinDesk“. Vėlesni „Galaxy Digital“ tyrimai išplėtė mąstymą iki 1 082 bitkoinų (apie 70 mln. JAV dolerių vertės), paimtų iš 1 196 adresų per maždaug 41 minutę.coindesk+2

Pažeidžiamumas kilo dėl 2021 m. kovo mėn. išleistos programinės aparatinės įrangos 4.0.1 versijos, dėl kurios generuojant pradinę frazę (angl. seed) buvo naudojamas silpnas programinės įrangos pseudoatsitiktinių skaičių generatorius, o ne tikras aparatinis atsitiktinių skaičių generatorius. Dėl to vieno parašo piniginių privatūs raktai tapo pakankamai nuspėjami, kad užpuolikas galėtų juos atkurti neprisijungęs prie tinklo, teigia „Bitcoin Magazine“. Daugelis nukentėjusių piniginių buvo nenaudojamos kelerius metus.bitcoinmagazine+1

„Coinkite“ atsakas

„Coldcard“ gamintoja „Coinkite“ iš pradžių teigė, kad defektas palietė „Mk3“ įrenginius, tačiau vėliau, paaiškėjus papildomoms vagystėms, pripažino, kad pažeidžiami visi modeliai, rašo „Forbes“. Bendrovė išleido skubius programinės aparatinės įrangos atnaujinimus ir patarė nukentėjusiems vartotojams atnaujintuose įrenginiuose susigeneruoti visiškai naujas pradinio rakto frazes bei atsargiai perkelti lėšas.forbes

„Programinės aparatinės įrangos atnaujinimas neištaiso pradinės frazės, kuri buvo sugeneruota pažeidžiamoje versijoje“, rašė „Coinkite“. „Turi būti sugeneruota nauja frazė, o lėšos perkeltos į naują piniginę.“forbes

Jacko Dorsey įkurtos mokėjimų bendrovės „Block“ inžinieriai teigė nustatę, kad užpuolikas, paimdamas lėšas, tikriausiai naudojosi mokama paskyra pas blokų grandinės paslaugų teikėją, kad atliktų užklausas apie tikslinius adresus.bitcoinmagazine

Plačiosios pasekmės

Šis incidentas iš naujo pakurstė diskusijas dėl savarankiško lėšų saugojimo (angl. self-custody) ribų kriptovaliutų rinkoje. Aparatinės piniginės laikomos viena patikimiausių priemonių skaitmeniniam turtui saugoti neprisijungus prie interneto, tačiau „Coldcard“ atvejis rodo, kad net ilgai rinkoje esantys įrenginiai gali kelerius metus turėti nepastebėtų trūkumų. Zhao raginimas diversifikuoti lėšas rodo kompromisą: lėšų padalijimas sumažina vieno gedimo taško riziką, tačiau apsunkina raktų valdymą.tradersunion+1

„Galaxy Digital“ tyrimų padalinys patarė bitkoinų savininkams perkelti lėšas iš vieno parašo „Coldcard“ adresų į saugesnius saugojimo sprendimus.bitcoinmagazine