Допис

Холодний гаманець теж небезпечний: вразливість прошивки Coldcard, атака на ланцюг постачання Ledger — чи справді ваш BTC належить вам? Ви витратили 1000 юанів на холодний гаманець, вважаючи, що ваші активи в безпеці. Протягом року дві події показали — холодний гаманець може бути справжньою часовою бомбою. Перша бомба: Coldcard, ви навіть не торкалися пристрою, а гроші зникли. У березні 2021 року канадський виробник апаратних гаманців Coinkite ввів смертельний дефект у прошивку Coldcard: при генерації мнемонічної фрази пристрій не використовував справжній апаратний генератор випадкових чисел, а застосовував програмний псевдовипадковий генератор. Простими словами — те, що ви вважали «випадковим», насправді не було випадковим. Зловмисники не потребували навіть торкатися вашого пристрою чи підключення до інтернету, щоб математично масово вивести ваші мнемонічні фрази. Перша атака сталася 30 липня 2026 року. За 25 хвилин близько 594 BTC зникли з 500 адрес. Це був лише початок. Потім відбулося щонайменше три хвилі атак, у результаті яких понад 1 816 BTC було виведено з більш ніж 5 200 адрес, збитки склали приблизно від 114 до 116 мільйонів доларів. Користувачі повідомляли, що їхні Coldcard ніколи не підключалися до інтернету, мнемонічні фрази не були розкриті, але активи все одно вкрали. Офіційна відповідь Coinkite була одна: всі мнемонічні фрази, згенеровані після березня 2021 року, вважаються потенційно скомпрометованими. Оновлення прошивки не допоможе — вже згенеровані мнемонічні фрази назавжди небезпечні, потрібно створювати нові мнемонічні фрази та переносити активи. Друга бомба: Ledger, пристрій, який ви купили у дилера, можливо, був змінений. 9 жовтня користувачі Ledger зазнали масштабних крадіжок на суму понад 86 мільйонів доларів, що торкнулися сотень гаманців на Ethereum, TRON, Bitcoin та інших блокчейнах. У постраждалих була спільна риса: всі вони купували пристрої через дилера CryptoBilis у Південно-Східній Азії. Колишній CEO Mt. Gox Марк Карпелес розібрав Ledger з Малайзії і виявив додаткову плату з LTE-модулем та eSIM. Ця плата могла зчитувати сигнали, що відображаються на екрані, перехоплювати мнемонічні фрази під час ініціалізації пристрою та передавати їх через мобільну мережу. Ви думали, що купуєте у «офіційного дилера», але пристрій був розібраний, змінений і скомпрометований ще з моменту виробництва. Ще гірше те, що безпекові припущення всієї DeFi-інфраструктури поступово руйнуються. Balancer втратив 128 мільйонів доларів, Kelp DAO — 292 мільйони, Stream Finance зазнав девальвації синтетичного долара xUSD, загальна заблокована вартість Aave за 5 днів впала з 26 до 14,2 мільярда. Від кредитних протоколів до синтетичних валют, від бірж до особистих апаратних гаманців — кожен, кого ви вважали «безпечним», за цей рік зазнав проблем. Що робити? Три речі, зробіть їх сьогодні. Перше — купуйте апаратні гаманці лише через офіційні канали. Не шукайте дешевше у дилерів, не купуйте у третіх осіб. Подія з Ledger показала, що атаки на ланцюг постачання ховаються за словами «офіційний дилер». Друге — користувачі Coldcard мають негайно перевірити. Якщо ви генерували мнемонічні фрази на Coldcard після березня 2021 року, створіть новий гаманець і перенесіть активи. Старі мнемонічні фрази назавжди небезпечні. Третє — для великих активів використовуйте мультипідписи. Гаманці з одною підписом — основна ціль атак на Coldcard. Використовуйте 2 із 3 мультипідписів із Trezor Safe 7, Ledger Nano та Casa для відновлення ключів, щоб у разі проблеми з одним пристроєм ваші активи залишалися в безпеці. Не кладіть усі яйця в один кошик — і тим більше не довіряйте приватні ключі одному пристрою. 1011 навчив нас, що кредитне плече може вбивати. Цей рік навчив нас, що навіть холодний гаманець може зрадити вас. У цьому ринку єдиний ворог безпеки — це ваша надія на удачу. $BTC $ETH $ZEC #Ledger підтвердив, що один із пристроїв був обладнаний апаратним вбудовуванням