Публикация

Холодные кошельки тоже небезопасны: уязвимость прошивки Coldcard, атака на цепочку поставок Ledger — действительно ли ваши BTC принадлежат вам? Вы потратили 1000 юаней на холодный кошелек, думая, что ваши активы в полной безопасности. За год два инцидента показали — холодный кошелек тоже может быть бомбой замедленного действия. Первая бомба: Coldcard, вы даже не прикасались к устройству, а деньги исчезли. В марте 2021 года канадский производитель аппаратных кошельков Coinkite внедрил в прошивку Coldcard критическую уязвимость: при генерации мнемонической фразы устройство не использовало настоящий аппаратный генератор случайных чисел, а применяло программный псевдослучайный генератор. Проще говоря — то, что вы считали «случайным», на самом деле не было случайным. Злоумышленники могли математически массово вычислить ваши мнемонические фразы, даже не прикасаясь к устройству и не подключая его к интернету. Первая атака произошла 30 июля 2026 года. За 25 минут около 594 BTC исчезли с 500 адресов. Это было только начало. Затем последовали как минимум три волны атак, в итоге более 1816 BTC были переведены с более чем 5200 адресов, ущерб составил примерно от 114 до 116 миллионов долларов. Один пользователь сообщил, что его Coldcard никогда не подключался к интернету, мнемоническая фраза не была раскрыта, но активы всё равно украли. Официальный ответ Coinkite был краток: все мнемонические фразы, сгенерированные с марта 2021 года, считаются потенциально скомпрометированными. Обновление прошивки не помогает — уже сгенерированные мнемонические фразы навсегда небезопасны, необходимо создать новые и перевести активы. Вторая бомба: Ledger, устройство, купленное у дилера, возможно, было подделано. 9 октября у пользователей Ledger произошла масштабная кража на сумму более 86 миллионов долларов, затронувшая сотни кошельков на Ethereum, TRON, Bitcoin и других блокчейнах. Общая черта жертв — все они покупали устройства у дилера CryptoBilis в Юго-Восточной Азии. Бывший CEO Mt. Gox Марк Карпелес вскрыл устройство Ledger из Малайзии и обнаружил внутри дополнительную плату с LTE-модулем и eSIM. Эта плата могла считывать сигналы, передаваемые на экран, перехватывать мнемоническую фразу при инициализации устройства и отправлять её через мобильную сеть. Вы думали, что покупаете у «официального авторизованного дилера», но устройство с момента производства было вскрыто, изменено и скомпрометировано. Более тревожный сигнал: вся инфраструктура DeFi безопасности постепенно рушится. Balancer потерял 128 миллионов долларов, Kelp DAO — 292 миллиона, Stream Finance столкнулся с девальвацией синтетического доллара xUSD, а общая заблокированная стоимость Aave за 5 дней упала с 26 до 14,2 миллиардов. От кредитных протоколов до синтетических долларов, от бирж до личных аппаратных кошельков — каждый, казавшийся «безопасным» элемент, в этом году подвергался инцидентам. Что делать? Три шага, которые нужно сделать уже сегодня. Первое — покупать аппаратные кошельки только через официальные каналы. Не ищите дешевле у дилеров, не покупайте у третьих лиц. Случай Ledger показал, что атаки на цепочку поставок скрываются за словами «авторизованный дилер». Второе — пользователям Coldcard немедленно проверить свои кошельки. Если вы генерировали мнемоническую фразу на Coldcard после марта 2021 года, создайте новый кошелек и переведите активы. Старые мнемонические фразы навсегда небезопасны. Третье — для крупных активов используйте мультиподпись. Одноподписные кошельки — основная цель атак на Coldcard. Используйте 2 из 3 мультиподписей с Trezor Safe 7, Ledger Nano и Casa для восстановления ключей: если одно устройство выйдет из строя, ваши активы останутся в безопасности. Не кладите все яйца в одну корзину — и тем более не доверяйте приватные ключи одному устройству. 1011 научил нас, что кредитное плечо может убить. Этот год научил нас — даже холодный кошелек может предать вас. В этом рынке единственный враг безопасности — ваша самонадеянность. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入