Coldcard слил $38 млн BTC за 25 минут: баг в RNG прошивки 2021 года
Уязвимость в генераторе случайных чисел прошивки Coldcard Mk3 позволила злоумышленнику опустошить ~500 кошельков и угнать 594 BTC за 25 минут.
В пятницу с 01:31 до 01:56 UTC хакер провёл 500 транзакций и вычистил 594 BTC (~$38 млн) примерно из 500 аппаратных кошельков Coldcard. 562 BTC из украденных осели на одном адресе и пока не двинулись.
Корень проблемы — в прошивке 4.0.0 (март 2021): вместо встроенного аппаратного генератора случайных чисел (HRNG) устройство использовало программный фолбэк на основе серийного номера чипа и показаний внутренних часов. Оба параметра — не секрет, их можно измерить или вычислить, что превращало «случайный» seed в решаемую математическую задачу.
Производитель Coinkite подтвердил: под угрозой кошельки Mk2 и Mk3 с прошивкой 4.0.1 и выше. Модели Mk4, Q и Mk5 не затронуты. Пострадавшие в основном держали одиночные подписи на более 0,15 BTC и не трогали кошельки годами. Примечательно: несмотря на $38 млн потерь, цена биткоина даже не моргнула.
Из той же рубрики
Bitget подтвердила взлом горячих кошельков на $351,6 млн, вывод средств приостановлен
24 сентября Bitget сообщила о взломе горячих и тёплых кошельков на $351,6 млн; холодные кошельки не пострадали. Вывод средств приостановлен, фонд защиты пользователей биржи (свыше $464 млн) покрывает ущерб полностью.
3 источника
Perle разблокировал PRL для выбравших полугодовую блокировку — забирать на claim.perle.xyz тем же SOL-кошельком
21 сентября в 11:00 UTC Perle разблокировал $PRL на Solana для тех, кто при первичном клейме заблокировал 100% аллокации на 6 месяцев. Забрать токены можно на claim.perle.xyz тем же SOL-кошельком после повторной проверки ладони.
3 источника
Plasma: набор «P1 Testers (+Reward)» идёт через Google-форму без официального анонса — $10 за тест не подтверждены
22 сентября в канал попало приглашение в «новый этап закрытого тестирования» Plasma One с наградой $10. Ни @Plasma, ни plasma.org такого набора не объявляли. Заявку принимает Google-форма без владельца: она просит Discord, Telegram и страну банка.
2 источника