Хак Coldcard раскрывает давнюю ошибку в генерации начального зерна

По сообщениям, взлом Coldcard похитил почти 114 млн долларов в BTC с 709+ адресов. Изъян в прошивке приводил к генерации seed-фраз кошельков с гораздо меньшей случайностью, чем было обещано. Первый «свип» предположительно опустошил около 500 кошельков за 25 минут. Проблема, как утверждается, попала в кодовую базу Coldcard в марте 2021 года и оставалась заметной более пяти лет, несмотря на публичную доступность исходного кода. Позднейшая статья добавляет более широкий взгляд на «пробелы доверия»: она утверждает, что сбой формировался процессами и стимулами, включая изменения лицензирования, а также связанную поломку в генерации seed, внесённую в том же коммите за март 2021 года. Также рассматривается отклик со стороны исследователей. Публикации, связанные с Shift Crypto и Nunchuk (август 2020), встретили скепсис, а более поздние попытки воспроизвести старые проблемы — враждебность и даже юридические угрозы. Для трейдеров это практическая проблема: обновления прошивки могут не устранить ущерб, вызванный seed, уже сгенерированными уязвимыми версиями, поэтому важны миграция и ручной перенос средств. После инцидента потоки на биржи, как сообщается, снова стали положительными (OKX указала рекордные притоки), а спрос на спотовые BTC ETF резко вырос (например, IBIT/FBTC). Для трейдеров взлом Coldcard может повысить краткосрочную волатильность вокруг нарративов о хранении BTC и безопасности кошельков, тогда как долгосрочное влияние зависит от более быстрых проверок безопасности и более ясных инструкций в документации и СМИ. Вывод по взлому Coldcard: относитесь к самостоятельному хранению на одном устройстве как к более рискованному варианту и отдавайте приоритет проверенным процедурам (аудит-лог, миграция и более безопасные практики мультисиг), даже после «экстренных» обновлений прошивки.