Publikuj

Portfele zimne też nie są już bezpieczne: luka w oprogramowaniu Coldcard, atak na łańcuch dostaw Ledger — czy twoje BTC naprawdę do ciebie należą? Wydałeś 1000 juanów na portfel zimny, myśląc, że twoje aktywa są całkowicie bezpieczne. W ciągu roku dwie sytuacje pokazały ci, że portfel zimny może być tykającą bombą. Pierwsza bomba: Coldcard, nigdy nie dotknąłeś urządzenia, a pieniądze zniknęły. W marcu 2021 roku kanadyjski producent portfeli sprzętowych Coinkite wprowadził krytyczną wadę do oprogramowania Coldcard: podczas generowania frazy mnemonicznej urządzenie nie korzystało z prawdziwego sprzętowego generatora liczb losowych, lecz z programowego generatora pseudolosowego. Mówiąc prosto — to, co uważałeś za „losowe”, wcale nie było losowe. Atakujący nie musieli dotykać twojego urządzenia, a nawet nie potrzebowali połączenia z internetem, by matematycznie masowo odgadnąć twoją frazę mnemoniczna. Pierwszy atak miał miejsce 30 lipca 2026 roku. W ciągu 25 minut zniknęło około 594 BTC z 500 adresów. To był dopiero początek. Nastąpiły co najmniej trzy kolejne fale ataków, w wyniku których ponad 1816 BTC zostało przelane z ponad 5200 adresów, powodując straty rzędu 114 do 116 milionów dolarów. Jeden z użytkowników powiedział, że jego Coldcard nigdy nie był podłączony do internetu, a fraza mnemoniczna nigdy nie wyciekła, a mimo to aktywa zostały skradzione. Oficjalna odpowiedź Coinkite była krótka: wszystkie frazy mnemoniczne wygenerowane od marca 2021 roku należy uznać za potencjalnie wyciekłe. Aktualizacja oprogramowania nie pomaga — wygenerowane frazy nigdy nie będą bezpieczne, musisz stworzyć nowe frazy i przenieść aktywa. Druga bomba: Ledger, urządzenie, które kupiłeś od dystrybutora, mogło być zmanipulowane. 9 października użytkownicy Ledger doświadczyli masowych kradzieży o wartości ponad 86 milionów dolarów, obejmujących setki portfeli na wielu łańcuchach, takich jak Ethereum, TRON, Bitcoin. Ofiary miały wspólny mianownik: wszystkie kupiły urządzenia od dystrybutora CryptoBilis w Azji Południowo-Wschodniej. Były CEO Mt. Gox, Mark Karpelès, rozebrał Ledger pochodzący z Malezji i odkrył dodatkową płytkę z modułem LTE i eSIM. Ta płytka mogła odczytywać sygnały przesyłane na ekran, przechwytywać frazę mnemoniczna podczas inicjalizacji urządzenia i przesyłać ją przez sieć komórkową. Myślałeś, że to „oficjalny autoryzowany dystrybutor”, a tymczasem urządzenie było rozkręcone, modyfikowane i manipulowane od momentu opuszczenia fabryki. Jeszcze bardziej bolesnym sygnałem jest to, że cały fundament bezpieczeństwa infrastruktury DeFi jest systematycznie podważany. Balancer został okradziony na 128 milionów dolarów, Kelp DAO na 292 miliony dolarów, syntetyczny dolar xUSD Stream Finance odszedł od parytetu, a całkowita wartość zablokowana w Aave spadła z 26 miliardów do 14,2 miliarda w ciągu 5 dni. Od protokołów pożyczkowych, przez syntetyczne dolary, giełdy, aż po osobiste portfele sprzętowe — każdy element, który uważałeś za „bezpieczny”, w tym roku miał problemy. Co powinieneś zrobić? Trzy rzeczy, zacznij już dziś. Po pierwsze, kupuj portfele sprzętowe tylko przez oficjalne kanały. Nie szukaj okazji u dystrybutorów, nie kupuj od osób trzecich. Incydent Ledger pokazał, że ataki na łańcuch dostaw kryją się za słowami „autoryzowany dystrybutor”. Po drugie, użytkownicy Coldcard powinni natychmiast sprawdzić swoje portfele. Jeśli wygenerowałeś frazę mnemoniczna na Coldcard po marcu 2021 roku, stwórz nowy portfel i przenieś aktywa. Stare frazy są na zawsze niebezpieczne. Po trzecie, używaj multisignature dla dużych aktywów. Portfele z pojedynczym podpisem były głównym celem ataku na Coldcard. Użyj multisignature 2 z 3 z kluczami odzyskiwania Trezor Safe 7, Ledger Nano i Casa — jeśli jedno urządzenie zawiedzie, twoje aktywa pozostaną bezpieczne. Nie wkładaj wszystkich jajek do jednego koszyka — i nie powierzaj klucza prywatnego jednemu urządzeniu. 1011 nauczyło nas, że dźwignia może zabić. Ten rok nauczył nas, że nawet portfele zimne mogą cię zdradzić. Na tym rynku jedynym wrogiem bezpieczeństwa jest twoje szczęście. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入