Руководитель службы безопасности Kraken: уязвимость Coldcard привела к краже биткоинов на сумму свыше 90 млн долларов, тестовым механизмам индустрии аппаратных кошельков срочно требуется реформа
TechFlow сообщает: 3 августа, по данным Cointelegraph, производитель аппаратного кошелька Coldcard компания Coinkite раскрыл информацию о пятилетней уязвимости генератора случайных чисел (RNG), продолжавшей действовать с марта 2021 года до настоящего времени. Уязвимость возникла вследствие ошибки при обновлении прошивки, из-за которой генерация seed-фразы кошелька стала направляться в менее защищенный генератор псевдослучайных чисел (PRNG) MicroPython вместо изначально запланированного генератора истинно случайных чисел (TRNG). Аудит кода ограничился проверкой наличия реализации TRNG без подтверждения факта его вызова, в связи с чем уязвимость долгое время оставалась незаметной.
На сегодняшний день атаке подверглись более 4 500 адресов, в результате чего было похищено Bitcoin на сумму около 90 млн долларов США. Главный специалист по безопасности Kraken Ник Перкоко отметил, что данный инцидент должен послужить «тревожным звоночком» для индустрии аппаратных кошельков, призвав внедрить практику независимого тестирования сторонними организациями и ввести обязательную проверку источников энтропии, фактически используемых в производственных прошивках, на наличие сертификатов. Coinkite приостановила отгрузку всех устройств и уничтожила затронутые запасы непосредственно после подтверждения уязвимости, а также выразила готовность сотрудничать со следственными органами ряда стран в розыске виновных лиц.
