20 лютого 2023 року команда Edge Wallet повідомила про злам свого некастодіального мультивалютника для телефонів

В результаті зламу, біля 5000 сід фраз користувачів опинились під загрозою. Анонімний хакер по черзі спустошував гаманці юзерів та наближався до мрії всіх криптанів - Яхти, Ламби, Дворця.

Давайте я опишу вам суть вразливості, а ви скажете мені, чи вірите ви, що таке може статись "випадково". Цитую:

"У гаманці стався баг, який змушував приватні ключі бути скопійованими в нешифрованому форматі під час специфічних операцій купівлі/продажу, одночасно з вигрузкою логів на сервера Edge."

Все це - окремі дії.

1. Скопіювати приват. ключ
2. У нешифрованому вигляді
3. Під час конкретної операції юзера
4. З додаванням його у Лог
5. Та відправкою Лога на сервера Edge

Всього лише 5 "випадковостей".

А сама головна "випадковість" у тому, що сідки почали дрейнити після попадання на сервера Edge.

Не на сервера якогось лівого хакера, а на офіційні серваки творців гаманця.

Ох уж ці "випадковості"!

Що ми знаємо про злам гаманця ColdCard, який вкрав більше 100 млн баксів у Bitcoin

Компанія Coinkite закликає юзерів переводити біткоїни в інші гаманці.

Якщо ви користувач Bitcoin, то могли чути про гаманець Coldcard - BTC-only залізний гаманець, який став ціллю для нещодавньої атаки.

Згідно пресі, хакери винесли більше 100 млн баксів юзерів з "холодних гаманців" Coldcard, такі дані наводить фірма дослідження блокчейнів Galaxy Research.

Ось, що нам відомо про злам, який продовжується прямо зараз, про те, хто постраждав, а також про те, що вам варто зробити, щоб захистити вашу криптовалюту.

Як працює Coldcard?

Гаманець створений компанією Coinkite, що базується у Торонто. Він належить до категорії так званих "хардвар гаманців", але він насправді не зберігає ніяких біткоїнів.

Бітоїни залишаються на публічному блокчейні, тоді як гаманець створює для вас додатковий рівень безпеки, за рахунок зберігання "сід фраз" в оффлайні - без необхідності в тому, щоб вони колись під'єднувались до Інтернету, а тільки зберігались всередині фізичного пристрою.

"Сід фрази" це послідовності з рандомних слів, які неможливо підібрати, які уособлюють приватні ключі від біткоїнів, та дають змогу їх витрачати. Сід фраза є математичним деривативом з приватного Майстер-ключа, яким юзер авторизує транзакції.

Гаманець рекламувався в якості "холодного сейфу" для юзерів біткоїна, які тримають його довгостроково, та хочуть тримати свої приватні ключі подалі від Інтернету, й був часто рекомендований юзерами та експертами з безпеки, в якості одного з самих безпечних місць, в яких можна зберігати Bitcoin.

Що сталось?

На початку серпня Coinkite попередила своїх користувачів про баг у софті, який дозволив хакерам реконструювати сід фрази, які були згенеровані в даному гаманці. Ця величезна діра в софті дозволила хакерам провести декілька хвиль атак, в ході яких вони спромоглися отримати доступ до біткоїн-гаманців юзерів, без необхідності отримання фізичного доступу до пристроїв.

Он-чейн аналіз, проведений компанією Galaxy Research, виявив три великі хвилі атак, та одну малу, в ході яких було вкрадено 1596 BTC, з більш ніж 7300 адрес.

Якщо підозрювана четверта хвиля також буде підтверджена, загальна кількість вкраденого може сягнути 2055 BTC, що дорівнює 130 млн баксів.

Наразі невідомо, хто саме стоїть за атакою.

Родольфо Новак, ко-фаундер та СЕО Coinkite, радив усім, хто використовував Coldcard для генерації сід фрази, "негайно перевести гроші з гаманця", одразу після випуску софтверного апдейта, згідно з офіційною приміткою на вебсайті компанії.

"Ми знаємо, що вибачення нікому не повернуть гроші. Ми знаємо, що нам доведеться знову завоювати довіру наших юзерів." - написав Новак в Твіттері.

Офіційна замітка, яка вийшла згодом, визнає, що злам став можливий з-за недоліку в софті, який було додано у Березні 2021 року. Замість того, щоб генерувати сід фрази через вбудований у гаманець мікрочіп для справжньої генерації випадкових чисел (True Random Number Generator), гаманець робив це за допомогою софтверної бібліотеки для генерації Псевдо-Випадкових Чисел (Deterministic Pseudo-Random Generator).

Компанія запевняє, що знищіла залишки гаманців, які були вироблені із включенням вразливого софту, а до того ж, скасувала відправку поточних замовлень.

У своїй заяві, Новак попереджає інших розробників, що в усьому винуватий Штучний Інтелект.

"Звертаюсь до кожного іншого розробника. Ми віримо, що це - гірка реальність нової парадигми ШІ. Перевірка кода за допомоги ШІ може знаходити старі вразливості зі швидкістю, яка перевищує можливості навіть самих крутих експертів індустрії. Якщо ваш софт має відкритий код, чи колись мав, можете вважати, що його вже продивляються як атакуючі персони, так і ті, хто хоче допомогти."

Приблизно 90 відсотків вкрадених монет ще не рухались, тобто вони не були відправлені в міксери, на біржі, або на нові адреси. Деталі зламу були повідомлені правоохоронцям у США, криптобіржам, а також командам, які проводять кібер розслідування.

"Атака показує вразливості тримання вашої крипти в оффлайні", -каже Анеірін Флінн, СЕО фірми кібербезпеки FailSafe у інтерв``'ю для Bloomberg. - "Пристрій всього лише відповідає за генерацію ваших паролів, та якщо для цього використовувалась слабка математика, ваші паролі можуть бути вгадані завдяки реверс-інжинірінгу."

За матеріалами: CBS Canada

#coldcard