Galaxy Research сообщает, что убытки в Bitcoin, связанные с уязвимостью Coldcard, выросли до $70 миллионов

Galaxy Research заявил в пятницу, что почти 1200 адресов были опустошены на более чем 1000 BTC, что составляет около 70 миллионов долларов в транзакциях, которые, по их мнению, связаны с уязвимостью, затронувшей аппаратные кошельки Coldcard.

В четверг Coinkite предупредила о текущей проблеме, касающейся сидов, сгенерированных на устройствах Coldcard Mk3. «Из соображений предельной осторожности Coinkite предупреждает всех пользователей, которые создавали сид с помощью Mk3 на версии 4.0.1 (март 2021) или любой последующей версии, что их средства могут быть под угрозой», — заявила компания-производитель криптоаппаратных кошельков.

Позже Coinkite расширила предупреждение, включив определённые версии прошивки Mk4, Mk5 и Coldcard Q, а также выпустила экстренные обновления прошивки для всех затронутых моделей.

Новак также предположил, что уязвимость могла быть обнаружена с помощью искусственного интеллекта, называя инцидент «трезвой реальностью новой парадигмы ИИ». Он предупредил, что проверка кода с помощью ИИ может находить скрытые ошибки быстрее, чем даже опытные эксперты по безопасности, позволяя злоумышленникам использовать слабые места в доступном публично коде.

Мы отследили движение средств по уязвимости Coldcard на основе шаблона, выявленного инженерами Block и предоставленного [Clay Garrett]: 1 196 адресов были полностью опустошены на 1 082,65 BTC (~70,2 млн долларов) в период между 01:10:20 и 01:51:26 UTC 30 июля.»

«Характер уязвимости означает, что будущие атаки возможны на любой адрес, сгенерированный Coldcard, и они не обязательно должны соответствовать этому шаблону», — также сообщил Galaxy Research в пятницу. «Данный шаблон говорит нам, что все атаки были совершены одним и тем же злоумышленником — он не описывает саму атаку, которая выглядит так же, как если бы владелец монет решил перевести свои средства».

Coinkite рекомендует пользователям обновить прошивку и создать новый сид. Также следует протестировать новый кошелек небольшой транзакцией, прежде чем переводить на него все средства, и хранить резервную копию до завершения транзакции.