Publikovat

Studené peněženky už nejsou bezpečné: zranitelnost firmwaru Coldcard, útok na dodavatelský řetězec Ledger – opravdu vám patří vaše BTC? Koupili jste si studenou peněženku za 1000 juanů a mysleli jste si, že vaše aktiva jsou naprosto v bezpečí. Během jednoho roku vám však dvě události ukázaly, že i studená peněženka může být časovanou bombou. První bomba: Coldcard, aniž byste zařízení vůbec použili, peníze zmizely. V březnu 2021 kanadský výrobce hardwarových peněženek Coinkite zavedl do firmwaru Coldcard fatální chybu: při generování mnemonické fráze zařízení nevyužívalo skutečný hardwarový generátor náhodných čísel, ale softwarový pseudonáhodný generátor. Jinými slovy – to, co jste považovali za „náhodné“, ve skutečnosti náhodné nebylo. Útočník tak nemusel zařízení ani fyzicky ovládat, ani být připojen k internetu, aby matematicky hromadně odvodil vaše mnemonické fráze. První útok proběhl 30. července 2026. Během 25 minut zmizelo přibližně 594 BTC z 500 adres. To byl jen začátek. Následovaly minimálně tři další vlny útoků, při kterých bylo z více než 5200 adres odcizeno přes 1816 BTC, což představuje ztrátu přibližně 114 až 116 milionů dolarů. Jeden uživatel uvedl, že jeho Coldcard nikdy nebyl připojen k internetu a mnemonická fráze nikdy neunikla, přesto mu byly prostředky odcizeny. Oficiální odpověď Coinkite byla jediná věta: všechny mnemonické fráze generované od března 2021 jsou považovány za potenciálně kompromitované. Aktualizace firmwaru nepomůže – již vygenerované mnemonické fráze jsou navždy nebezpečné, musíte vytvořit nové a přesunout aktiva. Druhá bomba: Ledger, zařízení, které jste koupili od prodejce, mohlo být manipulováno. 9. října došlo k masivnímu krádeži uživatelů Ledger, kdy bylo odcizeno přes 86 milionů dolarů, zahrnující stovky peněženek na řetězcích jako Ethereum, TRON, Bitcoin a dalších. Oběti měly společný znak: všechny zařízení zakoupily od jihovýchodního asijského prodejce CryptoBilis. Bývalý CEO Mt. Gox Mark Karpelès po rozebrání Ledgeru z Malajsie objevil uvnitř dodatečnou desku s LTE modulem a eSIM. Tato deska mohla číst signály posílané na obrazovku, zachytávat mnemonické fráze během inicializace zařízení a odesílat je přes mobilní síť. Mysleli jste si, že kupujete od „oficiálního autorizovaného prodejce“, ale zařízení bylo od výroby rozebráno, upraveno a manipulováno. Ještě znepokojivější je fakt, že bezpečnostní předpoklady celé infrastruktury DeFi jsou postupně rozbíjeny. Balancer byl okraden o 128 milionů dolarů, Kelp DAO o 292 milionů dolarů, syntetický dolar xUSD Stream Finance ztratil kotvu, hodnota zajištěných aktiv Aave během pěti dnů klesla z 26 miliard na 14,2 miliardy. Od půjčovacích protokolů přes syntetické dolary až po burzy a osobní hardwarové peněženky – každý bezpečný prvek, na který jste spoléhali, v tomto roce selhal. Co byste měli dělat? Tři věci, začněte hned dnes. Za prvé, kupujte hardwarové peněženky pouze z oficiálních kanálů. Nešetřete na prodejcích, nekupujte z třetích stran. Událost Ledger vám ukázala, že útoky na dodavatelský řetězec se skrývají právě za slovy „autorizovaný prodejce“. Za druhé, uživatelé Coldcard by měli okamžitě zkontrolovat své peněženky. Pokud jste po březnu 2021 generovali mnemonické fráze na Coldcard, vytvořte si dnes novou peněženku a přesuňte aktiva. Staré mnemonické fráze jsou trvale nebezpečné. Za třetí, pro velké částky používejte multisig. Jednosignaturní peněženky jsou hlavním cílem útoků na Coldcard. Použijte 2-z-3 multisig složený z Trezor Safe 7, Ledger Nano a Casa recovery klíčů, takže pokud jedno zařízení selže, vaše aktiva zůstanou v bezpečí. Nedávejte všechna vejce do jednoho košíku – a už vůbec ne svěřujte privátní klíče jednomu zařízení. 1011 nám ukázalo, že páka může zabíjet. Tento rok nám ukázal, že i studená peněženka vás může zradit. Na tomto trhu je jediným nepřítelem bezpečnosti vaše štěstí. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入