Уразливість прошивки Coldcard: помилка в seed RNG призвела до крадіжки ~112 млн BTC

Уразливість мікропрограми (firmware) Coldcard посилила занепокоєння щодо self-custody після того, як дослідники пов’язали атаки з проблемою RNG (генератора випадкових чисел) у seed-phrase. Згідно з пізнішим звітом, перша хвиля почалася 30 липня 2026 року: приблизно 1 083 BTC було виведено з 1 000+ адрес за 41 хвилину, після чого відбулися додаткові хвилі крадіжок. Це не була поломка блокчейну Bitcoin. Натомість уразливість Coldcard пов’язана з генерацією випадкових чисел, яку використовують для створення мнемонічних seed phrase. Якщо генерація seed стає передбачуваною, атакувальники можуть звузити коло можливостей, потенційно вивести приватні ключі й спорожнити уражені гаманці. За повідомленнями, втрати продовжували зростати аж до середини серпня; сумарні суми крадіжок називалися на рівні близько $112 млн (порядку сотень мільйонів), і це торкнулося тисяч адрес. Первинна причина веде до оновлення firmware від Coinkite, випущеного у 2021 році; у ранніх повідомленнях також згадувалася регресія ентропії. Ключове: оновлення firmware може не захистити кошти, зафіксовані раніше згенерованими seed phrase. У настановах Coinkite підкреслюється необхідність оновитися до firmware 4.2.0+ і згенерувати seed phrase заново; користувачам, можливо, доведеться переказати кошти. Компанія також радить використовувати більш надійні passphrase за BIP-39 як додатковий рівень безпеки та повідомляє, що почала знищувати залишки вразливих партій обладнання. Для трейдерів головний висновок для ринку — управління ризиками: інциденти, що атакують активи на рівні адрес, можуть швидко змінювати ринкові настрої. Очікуйте повторного інтересу до операційної гігієни та, можливо, до конфігурацій multi-signature, щоб зменшити ризик компрометації одного пристрою.