Предполагаемая четвертая волна атак на Coldcard: почему все еще очищаются 462 адреса?

Глава исследовательского отдела Galaxy Алекс Торн выявил то, что выглядит как четвертая организованная волна краж Bitcoin, связанная с мнемоническими фразами (seeds), сгенерированными уязвимой прошивкой Coldcard. В течение примерно 2,5 часов между блоками 960 778 и 960 792 исследователи зафиксировали 218 транзакций, затрагивающих 462 предполагаемых адреса жертв, 216 новых адресов назначения и 388,92748828 BTC. Сообщается, что аналогичные транзакции оставались в мемпуле, тогда как подтвержденные транзакции имели включенную функцию Replace-by-Fee (RBF).

Данная активность указывает на то, что публичное раскрытие информации и экстренные обновления прошивки не устранили риски, связанные с ранее сгенерированными мнемоническими фразами. Наблюдаемая скорость очистки средств достигла 13,8 за блок по сравнению с 0,3 в контрольном периоде до инцидента — это примерно 45-кратный рост. Тем не менее, термин «четвертая волна» остается исследовательской классификацией, основанной на ончейн-паттернах. Доказательства не позволяют однозначно идентифицировать злоумышленников или доказать, что каждая волна была осуществлена одной и той же организацией.

Ключевые выводы

• Предполагаемая четвертая волна включала 218 транзакций, 462 предполагаемых адреса жертв, 216 новых адресов назначения и 388,92748828 BTC.
• Концентрация активности и примерно 45-кратный рост скорости очистки средств подтверждают интерпретацию систематической эксплуатации уязвимости, а не обычной миграции кошельков.
• Преимущественно переводы формата 1:1, минимальное повторное использование адресов назначения и перемещения на вторые адреса могут указывать на более распределенную стратегию управления средствами.
• Обновление прошивки Coldcard не исправляет существующую слабую мнемоническую фразу; потенциально затронутым пользователям необходимо сгенерировать новую мнемоническую фразу через исправленный процесс и перевести свои активы.

Что произошло во время предполагаемой четвертой волны атак?

Согласно мониторингу Торна, последний кластер транзакций появился между блоками Bitcoin 960 778 и 960 792. За примерно 2,5 часа исследователи выявили 218 транзакций, имеющих характеристики, связанные с продолжающимся инцидентом Coldcard. Транзакции затронули 462 адреса, классифицированные как предполагаемые адреса жертв, 216 новых адресов назначения и 388,92748828 BTC. Сообщается, что аналогичные транзакции все еще ожидали подтверждения в мемпуле, что предполагает, что наблюдаемый период может не представлять собой конец активности.

Ранее подтвержденные транзакции также использовали RBF, что позволяет заменить неподтвержденную транзакцию Bitcoin версией с более высокой комиссией. RBF является стандартной функцией сети и сама по себе не демонстрирует злонамеренных намерений. Однако в контексте ongoing массовой очистки средств ее использование указывает на то, что инициатор транзакций активно управлял приоритетом подтверждения и мог повышать комиссии при появлении конкурирующих транзакций.

Сообщаемые цифры по адресам и суммам требуют тщательной интерпретации. «Адрес жертвы» — это адрес, классифицированный исследователями на основе его транзакционного поведения и связи с соответствующей границей прошивки Coldcard; он не обязательно представляет одного конкретного пользователя. Один кошелек может контролировать несколько адресов, а одна транзакция может тратить несколько входов. Аналогичным образом, 388,92748828 BTC, наблюдаемые в этом окне, не следует автоматически добавлять к предыдущим оценкам убытков, пока исследователи не подтвердят, что адреса, входы и переведенные средства не пересекаются с предыдущими кластерами.

Наиболее важным доказательством является интенсивность и согласованность активности. Исследователи рассчитали 13,8 очисток за блок в течение наблюдаемого периода по сравнению с 0,3 за блок в контрольном окне до инцидента. Такой резкий рост трудно объяснить исключительно реакцией независимых пользователей на предупреждение о безопасности. Также сообщается, что транзакции не содержали входов, созданных до соответствующей границы прошивки Coldcard, что усиливает связь между очищаемыми средствами и мнемоническими фразами, созданными под воздействием уязвимой прошивки.

Таким образом, оценка Galaxy основывается на совокупности факторов: времени, выборе адресов, структуре транзакций и поведении адресов назначения. Ни одна отдельная характеристика не является conclusive: легитимные пользователи могут включать RBF, генерировать новые адреса получения или одновременно переводить средства после официального предупреждения. Интерпретация организованной атаки становится более убедительной, когда эти характеристики проявляются с необычной регулярностью на сотнях адресов, связанных с прошивкой.

Однако ончейн-анализ не может напрямую выявить, кто контролирует приватные ключи. Один злоумышленник мог менять стратегии транзакций между волнами, в то время как несколько операторов могли независимо эксплуатировать одну и ту же уязвимость после ее обнародования. Следовательно, Galaxy рассматривает кластеры как скоординированные волны атак, не утверждая, что каждая волна окончательно приписана одной и той же организации.

Что reveals новая топология транзакций?

Предполагаемая четвертая волна демонстрировала преимущественно структуру 1:1, при которой средства с адресов жертв отправлялись на отдельные новые адреса назначения. Сообщается, что только один адрес назначения получил две очистки, и в начальный период мониторинга не появилось очевидного центрального адреса агрегации. Часть средств впоследствии переместилась на адреса второго hop.

Эта структура отличается от наиболее четких отпечатков, наблюдавшихся ранее в ходе инцидента. Анализ Galaxy показал, что первые две крупные волны неоднократно использовали жестко заданные комиссии в размере 30 sat/vB и схожие паттерны пакетирования, что поддерживает возможность наличия общего оператора или инструмента атаки. Поздняя волна сместилась в сторону индивидуальных переводов и распределенных адресов назначения. По первым трем выявленным волнам отчеты, связанные с Galaxy, оценили затронутую сумму в 1 367,05 BTC с 4 585 адресов, подчеркивая, что различия в отпечатках транзакций препятствуют окончательному attribution одному злоумышленнику.

Одно из объяснений заключается в том, что злоумышленник осознал, что централизованные адреса сбора облегчали кластеризацию и мониторинг ранних транзакций, и затем принял новые адреса назначения и дополнительные hops для снижения немедленной видимости. Другое объяснение состоит в том, что раскрытие уязвимости позволило copycat-злоумышленникам искать оставшиеся уязвимые мнемонические фразы с помощью самостоятельно разработанных инструментов. Обе интерпретации согласуются с паттернами транзакций, но ни одна не может быть доказана исключительно на основе топологии.

Переводы на вторые адреса не следует автоматически описывать как отмывание денег. Они могут отделять первоначальное извлечение от долгосрочного хранения, готовить средства для последующей консолидации, проверять, помечены ли адреса, или направлять активы во внешние сервисы. Следователям предстоит определить, сойдутся ли адреса второго hop в конечном итоге или будут взаимодействовать с идентифицируемыми организациями. На данном этапе обоснованным выводом является то, что последние транзакции показывают систематическую очистку в сочетании с все более распределенным управлением средствами.

Эволюция атак также меняет практические риски для пользователей. Galaxy выявила начальный всплеск, при котором 1 082,65 BTC были очищены с 1 196 адресов примерно за 41 минуту. Последующая активность была направлена на дополнительные адреса и меньшие балансы с использованием других структур. Это может указывать на переход от быстрого извлечения видимых кошельков с высоким значением к непрерывному сканированию оставшейся популяции слабых мнемонических фраз.

Продолжающаяся кампания перечисления может повторно посещать одно и то же пространство уязвимых мнемонических фраз и targeting меньшие балансы по мере улучшения инструментов атаки или изменения стоимости транзакций. Публичное раскрытие информации также может создать гонку между легитимными владельцами, пытающимися выполнить миграцию, и злоумышленниками, пытающимися реконструировать их ключи. Таким образом, предполагаемая четвертая волна важна не только из-за наблюдаемой стоимости, но и потому, что она указывает на то, что не мигрировавшие мнемонические фразы могут оставаться эксплуатируемыми после завершения наиболее заметных первоначальных краж.

Техническая первопричина: предсказуемая случайность

Команда Block по инженерии и безопасности Bitcoin проследила основную проблему до интеграции прошивки Coldcard с ее путем генерации случайных чисел. Согласно Block, конфигурация, предназначенная для отключения реализации аппаратного RNG в MicroPython, заставила внешнюю библиотеку вернуться к детерминированному программному генератору Yasmarang вместо ожидаемого аппаратного RNG STM32. Библиотека проверяла наличие макроса конфигурации, но не проверяла, был ли он включен.

Для затронутых прошивок Mk2 и Mk3 резервный генератор мог инициализироваться с использованием метаданных устройства и состояния таймера без получения криптографически безопасной энтропии через уязвимый путь. Если злоумышленник мог определить или достаточно ограничить UID устройства, состояние таймера и предыдущие вызовы генератора случайных чисел, кандидатные выходные данные потенциально могли быть воспроизведены офлайн. На более поздних устройствах был добавлен ввод secure-element, но Block сообщил, что только четыре байта результирующего дайджеста достигали функции reseeding, ограничивая безопасно дифференцированное состояние не более чем (2^{32}) возможностями при соответствующих допущениях.

Пропуск слабого случайного вывода через криптографический хеш не решает проблему. Хеш может сделать результаты равномерно распределенными, но он не может создать больше возможных секретов, чем существовало в исходном пространстве ввода. Злоумышленник может перечислить кандидатные мнемонические фразы, вывести их адреса Bitcoin и сравнить эти адреса с публичным блокчейном. Совпадение предоставляет сигнал валидации, который может раскрыть соответствующий приватный ключ без физического доступа к кошельку.

Это не является сбоем системы подписей Bitcoin или стандартов мнемонических фраз. Уязвимость касается случайности, используемой до создания приватных ключей. Как только существует слабая мнемоническая фраза, офлайн-устройство, изолированное от сети или физически защищенное, не может помешать другой стороне реконструировать тот же секрет посредством вычислений.

Block охарактеризовал свой отчет как раннюю техническую оценку, опубликованную в период активной эксплуатации, и отметил, что не завершил эмпирическое тестирование всех возможных путей атаки. Поэтому его выводы следует рассматривать вместе с расследованием Coinkite и окончательными техническими заключениями. Даже с этой оговоркой центральный вопрос безопасности ясен: защиты, применяемые после генерации ключей, не могут восстановить энтропию, отсутствовавшую при создании мнемонической фразы.

Почему обновления прошивки недостаточно?

Официальные рекомендации Coinkite проводят различие между предотвращением генерации уязвимых мнемонических фраз в будущем и исправлением существующей мнемонической фразы. Исправленная прошивка изменяет способ генерации новых секретов, но не может изменить мнемоническую фразу, созданную под воздействием уязвимой версии. Импорт этой мнемонической фразы в обновленную прошивку или другой аппаратный кошелек воссоздает те же приватные ключи и сохраняет основной риск. Полное устранение требует генерации действительно новой мнемонической фразы через исправленный процесс и перевода средств on-chain.

Coinkite определяет мнемонические фразы Mk2 и Mk3, сгенерированные на версиях прошивки с 4.0.1 по 4.1.9, как затронутые. Компания также рекомендует миграцию для мнемонических фраз Mk4 и Mk5, созданных до стандартной прошивки 5.6.0 или Edge-прошивки 6.6.0X, а также для мнемонических фраз Coldcard Q, созданных до стандартной прошивки 1.5.0Q или Edge-прошивки 6.6.0QX. Компания описывает воздействие на устройства Mk4, Mk5 и Q как менее серьезное, чем на затронутые устройства Mk2 и Mk3, но все же значительное. Владельцы Mk2 и Mk3 могут генерировать заменяющие мнемонические фразы после установки версии 4.2.0 или новее.

Подлинно независимая энтропия может предоставить ограниченные исключения. Coinkite заявляет, что как минимум 50 честных, независимых и частных бросков кубиков могут внести 128 бит энтропии, в то время как 99 или более бросков вносят примерно 256 бит. Пользователи, которые не могут уверенно подтвердить, как были сгенерированы и incorporated броски, не должны полагаться на это исключение. Strong BIP-39 passphrase может создать дополнительный барьер, но Coinkite все равно рекомендует миграцию, поскольку passphrase не исправляет исходную мнемоническую фразу. PIN-код Coldcard не является BIP-39 passphrase и не предотвращает перемещение средств блокчейна, если приватные ключи реконструированы.

Что делать пользователям Coldcard сейчас?

Потенциально затронутым пользователям следует определить модель устройства и версию прошивки, использованную при первоначальной генерации текущей мнемонической фразы. Текущей версии прошивки недостаточно, если мнемоническая фраза была создана на более старом Coldcard или импортирована с другого устройства. Проверки и загрузки прошивки следует проводить только через официальные каналы Coinkite, не переходя по ссылкам, предоставленным непрошеными учетными записями поддержки, сообщениями в социальных сетях или сервисами восстановления.

Пользователи, попадающие в затронутый диапазон, должны установить соответствующую исправленную прошивку и сгенерировать совершенно новую мнемоническую фразу. Они должны надежно записать новую резервную копию, проверить отпечаток кошелька и адрес получения непосредственно на экране устройства и отправить небольшую тестовую транзакцию перед переводом остатка баланса. Восстановление старой мнемонической фразы на новом устройстве или продолжение ее использования после обновления прошивки не устраняет уязвимость.

Инцидент также создает возможности для вторичного мошенничества. Пользователи никогда не должны раскрывать слова мнемонической фразы, приватные ключи, passphrases, последовательности бросков кубиков или резервные копии кошельков никому, кто утверждает, что представляет Coldcard, Coinkite, Galaxy, биржу, правоохранительные органы или компанию по восстановлению. Легитимный персонал поддержки не нуждается в этих секретах для проверки прошивки или объяснения процедур миграции.

Пользователи мультиподписи должны оценить, сколько затронутых ключей участвует в пороге расходов. Если достаточное количество уязвимых ключей может быть реконструировано, защита мультиподписи также может дать сбой. Замена ключей без ослабления порога или ненужного раскрытия скриптов кошелька может потребовать более тщательно спланированной миграции, особенно для кошельков с высокой стоимостью или институциональным управлением.

Более широкие последствия для безопасности аппаратных кошельков

Инцидент не демонстрирует, что все аппаратные кошельки или системы самохранения небезопасны. Он показывает, что безопасность кошелька зависит от всего жизненного цикла ключа: генерация энтропии, конфигурация прошивки, обзор зависимостей, резервное копирование мнемонической фразы, проверка транзакций и eventual миграция. Такие ярлыки, как «изолированный от сети», «офлайн», «открытый исходный код» или «защищенный secure-element», описывают отдельные уровни защиты, а не безопасность всей системы.

Прошивка с открытым исходным кодом позволяет независимый обзор, но не гарантирует, что ошибки реализации будут обнаружены до эксплуатации. Более сильная гарантия требует воспроизводимых сборок, тестирования энтропии, обзора кода across границ библиотек, детерминированных тестовых векторов и поведения fail-closed, когда безопасная случайность недоступна. В противном случае кошелек может продолжать получать средства и подписывать действительные транзакции, скрывая слабость, существовавшую с момента создания мнемонической фразы.

Центральный урок касается происхождения мнемонической фразы. Перемещение старой мнемонической фразы на новое оборудование улучшает среду ее хранения, но не меняет ее математическую безопасность. Аппаратные кошельки защищают способ хранения и использования приватных ключей; они не могут ретроспективно сделать предсказуемую мнемоническую фразу непредсказуемой.

Заключение

Предполагаемая четвертая волна атак на Coldcard указывает на то, что окно риска остается открытым. Сжатые сроки, примерно 45-кратный рост скорости очистки, граница входов, связанная с прошивкой, и регулярная структура транзакций поддерживают оценку Galaxy о систематической активности. Однако личности злоумышленников и связь между различными волнами остаются неподтвержденными.

Для потенциально затронутых пользователей приоритетом является проверка того, когда и как была создана их текущая мнемоническая фраза. Исправленная прошивка может защитить вновь сгенерированные секреты, но не может исправить существующую слабую мнемоническую фразу. Эффективным решением является генерация новой мнемонической фразы через исправленный процесс и безопасная миграция активов.

Отказ от ответственности: Эта статья предназначена только для информационных целей и не является инвестиционной, юридической консультацией или рекомендацией по кибербезопасности. Пользователи должны проверять версии прошивки и процедуры миграции через официальную документацию Coinkite и обращаться за квалифицированной помощью для сложных конфигураций кошельков.