Як зламали Coldcard і чому оновлення прошивки не рятує сід

30 липня о 01:10 UTC хтось за 41 хвилину повністю спорожнив 1 196 біткоїн-адрес. Ніякого фішингу, ніякого фізичного доступу до пристроїв, ніяких підписаних користувачем транзакцій.

Причина одна: один рядок конфігурації у прошивці Coldcard, через який гаманець пʼять років поспіль генерував сід програмним псевдовипадковим генератором замість апаратного.

Нижче розбираємо злам Coldcard: як працює вразливість RNG, кого вона стосується, що робити прямо зараз і які висновки з цього має зробити кожен, хто тримає крипту на апаратному гаманці, навіть якщо Coldcard у нього ніколи не було.

Злам Coldcard: хронологія від першого свіпу до четвертої хвилі

Хвиля перша: 41 хвилина, 1 082 BTC

Перші повідомлення виглядали як 594 BTC (близько $38 млн) із приблизно 500 односигнатурних гаманців за 25 хвилин. Це була неповна картина.

Galaxy Research зіставила транзакції за спільним почерком і відновила картину всієї хвилі: 1 196 адрес, спорожнених дощенту, 1 082,65 BTC (близько $70,2 млн за курсом того дня), вікно 01:10:20 — 01:51:26 UTC 30 липня, девʼять блоків від 960 183 до 960 191.

Chainalysis показала, що атакуючий не йшов навмання: спершу вигрібалися найбільші баланси, понад $30 млн зібрали за перші десять хвилин. Один потерпілий втратив близько $1,8 млн. Йозеф Тєтек із Trezor назвав найбільшу спорожнену адресу: 51 BTC.

Почерк транзакцій видавав автоматичний інструмент: кожен свіп (повне спорожнення адреси одним переказом) платив однакову завищену комісію 30 sat/vB, у 30–75 разів вище за медіану того тижня, і не залишав здачі.

Перше публічне попередження від Coinkite вийшло приблизно через 30 годин після цієї хвилі.

Хвилі другої, третьої і четвертої

Друга хвиля пройшла 31 липня між 04:54 і 08:36 UTC: 76,16 BTC з 1 478 адрес. Третя розтягнулася з 31 липня на 1 серпня і забрала 207,73 BTC з 1 912 адрес.

Середній улов на жертву падав із кожним заходом: у першій хвилі це майже цілий біткоїн, у третій близько 0,1 BTC. Алекс Торн із Galaxy пояснює це просто: великі адреси з доступного простору ключів уже вичистили, залишився дрібʼязок.

3 серпня почалася четверта хвиля, і Торн попередив про неї в прямому ефірі, ще поки транзакції висіли в мемпулі. Атакуючі цього разу підписували транзакції з увімкненим RBF, тобто до підтвердження жертва могла перебити свою ж транзакцію вищою комісією і встигнути вивести монети першою.

Швидкість була 13,8 свіпів на блок проти 0,3 у контрольний період до інциденту.

Станом на 4 серпня Galaxy оцінює з високою впевненістю 1 596 BTC, знятих із приблизно 7 300 адрес: три підтверджені хвилі плюс 14 дрібніших інцидентів. Це вже понад $100 млн. Якщо підтвердиться четверта хвиля, загальна сума виходить на 2 055 BTC, близько $130 млн.

Приблизно 90% украденого досі не рухається. Galaxy передала близько 600 підозрюваних адрес федеральним слідчим і комплаєнс-фірмам і працює з 73 потерпілими напряму.

Що зробив Coinkite

Родольфо Новак (NVK), співзасновник Coinkite, вибачився 31 липня і взяв повну відповідальність за баг, визнавши, що внутрішнє ревʼю його не спіймало.

Компанія випустила виправлені прошивки для всіх уражених моделей і гілок, знищила складський запас пристроїв із вразливою прошивкою, а покупцям, до яких пристрої вже поїхали, розіслала листи з інструкціями. TAPSIGNER, OPENDIME і SATSCARD працюють на іншій кодовій базі й не зачеплені.

У чому суть вразливості Coldcard: один макрос проти пʼяти років

Як генерація сіда має працювати

Коли Ви створюєте новий гаманець, пристрій бере 32 байти з апаратного генератора випадкових чисел, окремого фізичного блоку в мікроконтролері, який знімає фізичний шум і не залежить від коду. З цих байтів виходять 12 або 24 слова BIP-39, тобто 128 або 256 біт ентропії.

Уся модель безпеки тримається на одному припущенні: ці біти справді випадкові й ніхто, крім Вас, не може їх відтворити. Перебрати 2¹²⁸ варіантів не може ніхто.

Що пішло не так

У Coldcard є власна обгортка над апаратним генератором STM32, тому в конфігурації плат стоїть рядок #define MICROPY_HW_ENABLE_RNG (0). Це свідоме рішення: «не компілюй вбудовану реалізацію MicroPython, у нас своя».

Бібліотека libngu, через яку йшла генерація, перевіряла цей макрос директивою #ifndef, тобто перевіряла лише те, що макрос узагалі існує, а не те, яке в нього значення. Макрос визначено, тож libngu вирішує, що апаратний шлях доступний, і привʼязується до функції rng_get().

А MicroPython дивиться саме на значення, бачить нуль і компілює замість апаратного блоку програмний фолбек Yasmarang. Збірка проходить без жодної помилки, і кожен виклик генератора випадкових чисел іде через звичайний псевдовипадковий алгоритм.

1 березня 2021 року Coldcard перенесла генерацію сіда на libngu (коміт b18723dd), і 17 березня це поїхало в реліз прошивки 4.0.0. Далі код лежав відкритим у публічному репозиторії понад пʼять років.

Чим ініціалізувався програмний фолбек

Yasmarang ініціалізується один раз, при першому виклику, трьома значеннями: молодшим 32-бітним словом UID чипа (у XOR із лічильником SysTick), регістром часу RTC->TR і субсекундним лічильником RTC->SSR. Після цього нової ентропії не збирається взагалі, кожне наступне значення це детермінований перехід стану.

Жодне з цих джерел не є секретом. UID це заводський ідентифікатор чипа, фіксований на весь час життя мікроконтролера, читається з памʼяті й частково потрапляє в USB-серійник пристрою.

SysTick це лічильник, який перезавантажується щомілісекунди: 80 000 можливих значень на Mk2/Mk3, 120 000 на нинішніх моделях. На холодному старті Mk2/Mk3 обраний осцилятор RTC узагалі вимкнений, тобто значення регістрів часу з високою ймовірністю нульові або статичні.

Поверх цього libngu накладала XOR із другим генератором Yasmarang, ініціалізованим публічними константами, які лежать прямо у вихідниках. XOR не створює ентропії: якщо обидва входи відтворювані, їхній XOR теж відтворюваний.

Вбудована перевірка «здоровʼя» генератора відбраковувала лише однакові сусідні значення, а псевдовипадковий алгоритм проходить її без проблем.

Скільки ентропії лишилося

Coinkite оцінює наслідки так: близько 40 біт на Mk3 і близько 72 біт на Mk4, Mk5 і Q замість очікуваних 128. Технічний звіт Block дає жорсткішу картину.

• Mk2/Mk3 на прошивках 4.0.0-4.1.9: якщо атакуючий знає UID і історію викликів генератора, результат детермінований, тобто один-єдиний варіант. Верхня межа при повністю невідомих таймерах становить менше 2⁴⁰·⁷.
• Mk4, Mk5, Q: при завантаженні додається ентропія із захищеного елемента, але її хешують і беруть лише чотири байти, а сама функція пересіву переписує одне 32-бітне слово стану. Це дає щонайбільше 2³² різних потоків виводу, у середньому близько 2³¹ спроб перебору.

Стеля в 2⁷³ для нинішніх моделей, яку іноді цитують, у самому звіті Block супроводжується прямим застереженням: це не 73-бітна криптографічна стійкість. Поля таймерів корелюють між собою, можуть займати куди вужчий діапазон, а атакуючий може профілювати їх на власному такому ж пристрої.

Хешування нічого не рятує. SHA256d робить вивід статистично рівномірним, але не збільшує кількість можливих входів: скільки було кандидатів до хешу, стільки й лишиться після. Контрольна сума BIP-39 ентропії теж не додає.

Щоб було відчутно: 40 біт це близько трильйона варіантів, які перебираються офлайн за розумний час на звичайному залізі.

Перевірка кандидата коштує дешево, бо публічна адреса або xpub працює як оракул, тобто дозволяє миттєво перевірити здогад: згенерувати кандидата, вивести з нього адресу, звірити з блокчейном. Пристрій для цього чіпати не треба взагалі.

Чому оновлення прошивки не лікує сід

Патч виправляє генерацію нових сідів. Той сід, який уже створено, він не змінює: слова вже записані й уже обчислювані. Перенесення цього сіда на інший пристрій теж нічого не дає, бо слабкість сидить у самих словах, а не в залізі, яке їх зберігає.

Кого стосується вразливість Coldcard, а кого ні

Головне правило: значення має не дата покупки пристрою і не його модель сама по собі, а прошивка, на якій створювався конкретний сід.

Виправлені прошивки

• Mk2 і Mk3: версія 4.2.0 або новіша.
• Mk4 і Mk5, гілка standard: 5.6.0 або новіша.
• Q, гілка standard: 1.5.0Q або новіша.
• Mk4 і Mk5, гілка Edge: 6.6.0X або новіша.
• Q, гілка Edge: 6.6.0QX або новіша.

Standard і Edge це дві різні гілки релізів. Номер 6.x виглядає більшим за 5.6.0, але старий білд Edge від цього не стає виправленим. Якщо Ви на Edge, Вам потрібен саме виправлений Edge-реліз для своєї моделі.

Кидки кубиків

Баг зачепив ентропію, яку генерував пристрій. Незалежну ентропію, яку додав користувач, він не чіпав. На уражених прошивках Coldcard хешував згенерований пристроєм сід разом з усіма кидками, введеними через Add Dice Rolls:

• від 50 до 98 незалежних приватних кидків: самі лише кубики дали щонайменше 128 біт;
• 99 кидків і більше: близько 256 біт;
• менше 50 кидків або точно не памʼятаєте: виходьте з того, що сід скомпрометовано.

Слово «приватних» тут не формальність. Кидки не повинні бути зняті на камеру, записані у файл чи введені на компʼютері, підключеному до мережі. Послідовність кидків це такий самий ключовий матеріал, як і сам сід.

Що ще генерувалося тим самим генератором

Історія не обмежується сідами гаманців. Той самий виклик використовували:

• приватні ключі паперових гаманців, і це найгірший випадок: там вивід генератора йде прямо в приватний ключ, без BIP-39 і BIP-32, а надрукована адреса сама працює оракулом для перебору;
• випадкові маски Seed XOR при розділенні сіда (детермінований режим поділу, який стоїть за замовчуванням, цим багом не зачеплений);
• ключі клонування пристрою і шифрування USB-сесій;
• тимчасові ECDH-ключі та пʼятибайтовий другий пароль у Key Teleport;
• TOTP-секрет і ключі запитів у Web2FA;
• паролі, згенеровані вбудованим генератором у Secure Notes.

Мультисиг

Мультисиг рятує лише тоді, коли кворум неможливо зібрати з уражених ключів. Схема 2-з-3, у якій усі три пристрої це Coldcard на вразливих прошивках, не захищає ні від чого: атакуючий відновлює потрібну кількість ключів і підписує сам.

Block у своєму звіті формулює це прямо: потрібен кворум пристроїв, які не мають цієї вразливості.

Що робити прямо зараз

Поспіх під час міграції сам по собі створює ризик, більший за той, від якого Ви тікаєте. Тому порядок дій має значення.

1. Зʼясуйте, на якій прошивці створювався Ваш сід. Не памʼятаєте — виходьте з гіршого сценарію.
2. Якщо баланс значний, а сід під підозрою, спочатку рятуйте кошти, а потім робіть усе красиво. Тимчасово це може бути інший апаратний гаманець із нормальною ентропією, свіжий сід або навіть біржова адреса з подальшим виведенням: саме таку послідовність радить Galaxy тим, хто не встигає мігрувати акуратно.
3. До будь-яких маніпуляцій перевірте записаний бекап старого сіда і збіг відбитка гаманця (XFP). Загубити доступ під час міграції це той самий нуль, що й крадіжка.
4. Поставте виправлену прошивку для своєї моделі та гілки. Завантажуйте тільки з coldcard.com/downloads і звірте версію на екрані пристрою після оновлення.
5. Згенеруйте новий сід на пропатченому пристрої. Якщо хочете взагалі не залежати від генератора виробника, скористайтеся шляхом Import Existing > Dice Rolls і введіть щонайменше 99 кидків чесного шестигранного кубика.
6. Запишіть і перевірте бекап нового сіда, звірте відбиток гаманця, звірте адресу отримання на екрані пристрою, а не в програмі на компʼютері.
7. Відправте тестову суму, дочекайтеся підтвердження, і лише потім переводьте решту.
8. Старий бекап не знищуйте, поки весь баланс не прийшов на новий гаманець і не підтвердився.

Якщо Mk3 це Ваш єдиний пристрій

Прошивка 4.2.0 дозволяє згенерувати коректний новий сід на самому Mk3, купувати нове залізо заради цього не обовʼязково.

Незручність у тому, що доведеться перемикатися між старим і новим сідом на одному пристрої: перевірити бекап і XFP старого, оновитися, на порожньому пристрої згенерувати новий сід, записати бекап і адресу, відновити старий сід, надіслати тестову суму, відновити новий і переконатися, що вона прийшла, знову відновити старий і вивести решту.

Порядок нудний, але він працює без другого пристрою. Якщо другий пристрій із виправленою прошивкою є, робіть через нього.

Пасфраза: коли рятує, а коли ні

Пасфраза BIP-39, яку часто називають 25-м словом, це не PIN пристрою. Це рядок, який разом із сідом дає інший гаманець із іншими адресами. Атакуючий, який відновив Ваш сід, потрапляє тільки в базовий гаманець без пасфрази і не бачить того, що за нею.

Проблема в тому, що пасфразу перебирають разом із сідом. Якщо простір сіда звузився до кількох мільярдів варіантів, а пасфраза це «Bitcoin2024!», дата народження або рядок із улюбленої пісні, сумарний перебір залишається реальним. Слабке 25-те слово в такій ситуації не барʼєр, а формальність.

Сильна пасфраза для цього сценарію означає кілька конкретних речей: це випадковий рядок, а не фраза з людською логікою; вона ніде більше не використовується; вона ніколи не вводилася на сайті чи на недовіреному компʼютері; і вона згенерована не на ураженому пристрої, бо вбудований генератор паролів у Secure Notes ішов через той самий зламаний RNG.

Зворотний бік теж треба тримати в голові. Пасфраза не відновлюється із сіда, зберігається окремо від слів, і про її існування мають знати ті, хто успадкує доступ. Гаманців, втрачених через забуту пасфразу, ми бачили більше, ніж урятованих нею.

І головне: пасфраза знижує терміновість, але не лікує сід. Coinkite прямо радить власникам пасфразних гаманців мігрувати теж, просто без паніки в першу ніч.

Як захиститися від такого класу атак

Кубики

Це єдиний спосіб не залежати від генератора випадкових чисел виробника взагалі. 50 незалежних приватних кидків шестигранного кубика дають 128 біт, 99 кидків дають близько 256.

Метод перевіряється: Coldcard документує математику підрахунку, і Ви можете звірити результат самостійно. Платити доведеться часом і дисципліною: кидки не можна фотографувати, зберігати у файлі чи вводити на підключеному до мережі компʼютері.

Мультисиг із пристроїв різних виробників

Сенс мультисигу не в кількості ключів, а в незалежності відмов. Схема 2-з-3, зібрана з Coldcard, Trezor і BitBox, переживає баг в ентропії одного виробника: кворум не збереться. Схема з трьох однакових пристроїв від цього класу проблем не захищає взагалі.

Платити за це доведеться складністю: треба зберігати дескриптор гаманця разом із бекапами, відновлення довше, а спадкоємцям пояснювати більше. Для сум, втрата яких відчутна, обмін виправданий. Для гаманця на кілька сотень доларів уже ні.

Як ентропію роблять інші виробники

Це не реклама конкурентів, а корисний спосіб дивитися на архітектуру пристрою перед покупкою.

• Trezor: секрет ніколи не виводиться лише з пристрою. Підсумковий сід рахується як SHA-256 від конкатенації 32 байт ентропії пристрою і 32 байт від хоста, які дає CSPRNG операційної системи (криптографічно стійкий генератор випадкових чисел). Повна відмова однієї сторони залишає повну ентропію іншої.
• Ledger: сертифікований апаратний TRNG всередині захищеного елемента, 256 біт ентропії на 24-слівну фразу.
• BitBox02 і BitBox02 Nova: кілька незалежних джерел ентропії, власна прошивка, спільного коду з Coldcard у цій частині немає.

Урок звідси простий. Архітектура з одним джерелом випадковості ламається цілком від однієї помилки інтеграції, і користувач цього не побачить: слова виглядатимуть нормально, контрольна сума зійдеться, пристрій не покаже жодної помилки.

Архітектура з двома незалежними джерелами цей клас збою переживає. Питання при виборі пристрою звучить не «чи є тут апаратний генератор», а «що станеться, якщо він мовчки відвалиться».

Усі три виробники доступні в Україні, і нові пристрої Coldcard теж їдуть уже з виправленою прошивкою. Але звичка перевіряти версію прошивки на екрані, перш ніж генерувати сід, має лишитися назавжди, незалежно від бренду.

Відкритий код у 2026 році

Вихідники Coldcard були публічними всі пʼять років, і це роками подавалося як перевага. Баг ніхто не побачив.

NVK припускає, що атакуючий прогнав старі версії прошивки через ШІ, і окремо визнав незручний факт: власний аудит Coinkite однією з найкращих доступних моделей за кілька тижнів до інциденту не знайшов ні цього бага, ні чогось серйозного взагалі. Уже після публікації розробник на Reddit відтворив знахідку через Claude Code за вісім хвилин.

Практичний висновок для користувача один: «код відкритий і його стільки років ніхто не зламав» більше не є аргументом на користь безпеки. Будь-який публічний код старих версій зараз читається автоматикою швидше, ніж командами безпеки.

Значення має інше: як швидко виробник реагує, чи публікує технічний розбір і чи закладена в пристрої архітектура, яка витримує помилку в одному компоненті.

Чи означає злам Coldcard, що апаратні гаманці не працюють

Протокол Bitcoin відпрацював штатно. Підписи були валідні, мережа виконала рівно те, що їй прислали. Зламалася випадковість на етапі створення ключа, і це інша частина стека.

Аргументом на користь зберігання на біржі цей інцидент теж не є: біржі втрачали кошти користувачів на порядок більше і з куди нуднішими причинами.

Важлива різниця в іншому. Якщо вразливий сід уже створено, жоден некастодіальний гаманець — апаратний чи програмний — не може віддалено замінити його без дій власника. Виробник заліза так само не може ні дотягнутися до air-gapped пристрою (пристрою, який фізично не зʼєднується з мережею), ні полагодити вже створений сід.

Та сама автономність, яка захищає від блокувань і вилучень, робить такий збій невиправним без дій самого власника.

Тому висновок суто практичний: генерацію ключа варто вважати окремим етапом ризику. Додавайте власну ентропію кубиками, розподіляйте довіру між виробниками там, де сума цього варта, і перевіряйте версію прошивки до створення сіда, а не після новин.

Підсумок

Якщо Ваш сід був створений на Coldcard з ураженою версією прошивки, мігруйте не відкладаючи, незалежно від того, використовували Ви пасфразу чи ні. Виняток — сід, до якого під час створення було додано щонайменше 50 незалежних приватних кидків кубика.

Оновлення прошивки лікує генерацію нових сідів і не лікує старі.

Загальний висновок переживе цей конкретний інцидент. Довіра до єдиного джерела випадковості це та точка відмови, яку користувач може закрити сам: кубиками або мультисигом із пристроїв різних виробників.

Якщо Ви ще не розібралися з базою, почніть зі статті «Топ-5 способів безпечно зберігати seed-фразу» у цьому ж блозі.