Киберпреступники украли криптовалюту на сумму более 130 миллионов долларов через уязвимость в офлайн-кошельках

По данным экспертов и компаний, занимающихся безопасностью блокчейна, в последнее время фиксируются случаи кражи огромных объёмов криптовалюты из одного из считавшихся наиболее защищёнными офлайн-аппаратных кошельков. Хакерам удалось воспользоваться уязвимостью в устройствах Колдкард производства компании Коинките и похитить цифровые активы стоимостью не менее 130 миллионов долларов. Этот инцидент вызвал большой резонанс в мире кибербезопасности, поскольку офлайн-кошельки долгое время считались самым надёжным способом хранения криптоактивов. Об этом TechCrunch.ком сообщает .

По данным исследовательской компании Galaxy Ресеарч, за этой цифровой кражей могут стоять не одна, а несколько независимых кибергрупп, личности которых пока не установлены. Соучредитель компании Эллиптик, отслеживающей криптовалюты, Том Робинсон в интервью TechCrunch подтвердил, что общая сумма украденных средств составляет около 130 миллионов долларов. Согласно данным ТРМ Лабс, с начала текущего года было совершено более 200 хакерских атак на криптовалютные компании, а общий ущерб превысил 950 миллионов долларов.

Где дала сбой основная система защиты офлайн-кошельков?

Главное преимущество аппаратных кошельков вроде Колдкард заключается в том, что они работают без подключения к интернету. Владельцы Bitcoin хранят свои закрытые ключи или сид-фразы, представляющие собой пароль, вдали от интернета. Этот процесс называется «холодным» хранением и считается более безопасным по сравнению с «горячими» кошельками в традиционных онлайн- или биржевых аккаунтах. Хотя монеты в основной сети блокчейна остаются на месте, доступ к ним должен обеспечиваться только с помощью секретного пароля на этом офлайн-устройстве.

Однако, как выяснили исследователи безопасности Block, хакерам удалось обнаружить уязвимость в процессе создания сид-фраз пользователями кошельков Колдкард. Оказалось, что эти ключи были недостаточно случайными, поэтому их можно было заранее предсказать. Определив правила генерации кодов, киберпреступники легко вычислили секретные слова жертв методом бруте-форке — математического перебора. По словам экспертов, хакеры не взламывали сейф, а нашли способ массово изготовить его ключ.

Один из пострадавших пользователей, Джонатан Гудман, написал на своей странице в социальной сети Кс, что потерял средства на сумму 1,6 миллиона долларов, несмотря на строгое соблюдение всех правил безопасности. Он заявил, что никому не сообщал свои секретные слова, его устройства вообще не подключались к интернету, а все данные хранились в сейфах. По его словам, это не помогло, поскольку уязвимый код из одной строки, добавленный в программное обеспечение устройства в 2021 году, поставил под угрозу всю систему.