Хакерлер Coldcard әмияндарынан $115 млн астам қаражат шығарды: прошивканың ауқымды осалдығы ашылды
Coldcard аппараттық әмияндары айналасындағы апаттың ауқымы бұрын болжанғаннан әлдеқайда күрделі болып шықты. Менің блокчейн деректерін талдауым бойынша, пайдаланушылардың жиынтық шығыны $115 млн белгісінен асып түсті. 30 шілдеден бастап зиянкестер 8680 мекенжайдан 1778,58 BTC шығарды. Бұл жай ғана жеке оқиға емес, бүкіл криптоқауымдастықтың дереу назарын қажет ететін жүйелік мәселе.
Мәселенің түбірі — 2021 жылғы прошивкада
Көзге бірден түсетін негізгі деталь: барлық ұрланған биткоиндер 2021 жылдың 17 наурызынан кейін жасалған — дәл сол кезде осал прошивка нұсқасы шыққан (блок 674 951). Осы күнге дейін жасалған бірде-бір зардап шеккен монета табылған жоқ. Бұл осалдық жаңартылған бағдарламалық қамтамасыз етілген құрылғыларда кілттерді генерациялауда жатқанының тікелей дәлелі.
Талдау көрсеткендей, алынған 6303 BTC-тің ешқайсысы релизге дейін пайда болмаған. Бұл зардап шеккендер хабарлаған 3598 мекенжайға да қатысты: ең ертесі 2021 жылдың 22 наурызына жатады. Бұл шекара ешқандай күмән қалдырмайды — мәселе пайдаланушылардың әрекеттерінде емес, кодтың өзінде жатыр.
Шабуылдар: бірінші толқын — ең жойқыны
Ең үлкен зиянды шабуылдардың бірінші толқыны келтірді — оған $70,2 млн, немесе барлық шығынның 61% тиесілі. Сол кезде ақша шығару жылдамдығы таңғалдырды: оператор мекенжайларды бірінен соң бірін босатып, қаражатты 41 минут ішінде қатарынан тоғыз блок шеңберінде аударды. Бұл ретте комиссия vByte үшін тұрақты 30 сатоши құрады, бұл жақсы жоспарланған автоматтандырылған схеманы көрсетеді.
Бірінші толқындағы қаражаттың едәуір бөлігі әлі күнге дейін қозғалмағаны қызықты: 108,65 BTC-тің 108,57 BTC орнында сақтаулы. Ал үшінші толқындағы активтер «қойма»-скрипттерінде бұғатталған — 207,73 BTC, бұл зиянкестердің ұрланғанды заңдастыруға немесе сақтап қалуға тырысуын көрсетеді.
Шығындардың біркелкі еместігі және ауқымның бағаланбауы
Зардап шеккендердің есептілігі шындықтан айтарлықтай артта қалып отыр. Бар болғаны 192 адам 714,81 BTC (барлық ұрланғанның 40,2%) сомасындағы шығын туралы мәлімдеді, бұл ретте жеке шығындар 58,97 BTC-ке жетеді, ал медианалық — шамамен 1,03 BTC. Тағы 6890 мекенжай 1063,76 BTC-пен әзірге ешбір иесімен байланыспаған. Бұл құрбандардың нақты саны қазір көріп отырғанымыздан бірнеше есе көп болуы мүмкін дегенді білдіреді.
Менің үкімім: бұл оқиға — бүкіл индустрия үшін ояту қоңырауы. Аппараттық әмияндар қауіпсіздіктің эталоны саналды, бірақ енді анық: өндіруші критикалық кодта қателік жіберсе, тіпті олар да осал. 2021 жылдың наурызынан кейінгі прошивкасы бар Coldcard пайдаланушылары дереу жаңа құрылғыларға көшіп, кілттерді қайта генерациялауы керек. Нарық мұндай қателіктерді енді кешірмейді — аппараттық шешімдерге деген сенім нұқсанға ұшырады, оны қалпына келтіру жылдар алады.