COLDCARD RNG Incident (2026)

Coinkite та Block опублікували перші розбори 30 липня 2026 року після повідомлень про втрати. За словами виробника, нападникам не треба було керувати чужим пристроєм: вони могли відтворити слабко згенеровані таємниці й отримати відповідні приватні ключі, які дозволяють підписувати перекази. Тому самого відключення від інтернету було недостатньо. Але цей опис не встановлює причину кожної окремої втрати; лише марка пристрою її не пояснює. [2] [3]

Гаманець мав використовувати апаратне джерело випадковості, TRNG. Після інтеграції бібліотеки libNgU виклик ngu.random.bytes натомість потрапляв до функції rng_get у MicroPython та її програмного генератора Yasmarang. Під час складання програми з’єднали неправильні компоненти. MICROPY_HW_ENABLE_RNG мало значення 0, тоді як #ifndef перевіряло лише наявність налаштування, а не його значення. Правильний апаратний код міг бути у файлі, але не використовуватися для створення seed. Це не була поломка чипа чи навмисний аварійний режим. [1]

Нападнику простіше, коли таємниця походить із меншої кількості можливостей. Тут стан програми залежав від даних пристрою, таймерів і попередніх викликів. Для Mk4, Mk5 та Q Block описує додаткове оновлення стану, обмежене 32 бітами: щонайбільше 2^32 різних вихідних послідовностей за незмінної решти. Попередня оцінка Coinkite для загальної ентропії, тобто міри невизначеності, становила близько 40 біт для Mk2/Mk3 і 72 біти для новіших моделей. Цифри мають різні припущення. Вони не визначають вартості кожної атаки й не доводять, що кожен гаманець можна зламати миттєво. [3] [1]

Офіційне попередження називає Mk2/Mk3 з 4.0.1–4.1.9. Початковий розбір Block включає вже 4.0.0 і зміну в березні 2021 року. Отже, джерела розходяться щодо початкової межі; замінювати цю невизначеність здогадкою не варто. Якщо походження seed неясне, посібник міграції радить вважати гаманець ураженим. Mk4/Mk5 та Q також були уражені до виправлення відповідної гілки прошивки. Тодішня заява про всі виробничі версії не описує пізніші виправлені релізи. [2] [3] [5]

Перші виправлені версії: Mk2/Mk3 4.2.0, Mk4/Mk5 Standard 5.6.0, Q Standard 1.5.0Q, Mk4/Mk5 Edge 6.6.0X і Q Edge 6.6.0QX. Standard та Edge — окремі гілки; більший номер іншої гілки сам собою нічого не доводить. Під час цієї ревізії виробник рекомендує Standard 5.6.3 для Mk4/Mk5 і 1.5.3Q для Q. Перед установленням перевірте актуальну офіційну сторінку, хеш файла та підпис релізу. Хеш є відбитком вмісту, а підпис допомагає перевірити походження. Навіть правильно встановлене оновлення не змінює наявний seed. [4]

Уявіть, що відновили слабко створений seed на новому пристрої. Пристрій інший, але таємниця та сама. Клонування й перенесення гаманця мають те саме обмеження. Хешування, тобто обчислення відбитка даних, не додає можливих входів; BIP39 Checksum допомагає виявляти помилки у словах, а не поповнює відсутню випадковість. І навпаки: seed, безпечно створений деінде, не стає слабшим через цю конкретну помилку лише від імпорту в COLDCARD. Важливе його походження. [3] [5]

Виняток виробника передбачає щонайменше 50 незалежних кидків неупередженого кубика, введених початковою функцією Add Dice Rolls. Послідовність не мала бути записана чи розкрита, а гаманець мав використовувати остаточні слова після додавання кидків. За меншої кількості або сумнівів рекомендовано міграцію. BIP39 Passphrase — інший захід: додатковий таємний текст, який разом із seed визначає інший гаманець. Сильна унікальна passphrase додає перешкоду нападнику, але seed не виправляє; виробник радить міграцію і її користувачам. PIN лише захищає доступ до пристрою. Сучасні правила нових seed відрізняються від цього історичного винятку. [2]

Спершу перевірте, чи маєте придатну резервну копію початкового гаманця. За посібником міграції створіть справді новий seed на виправленій прошивці та перевірте його копію. Звірте fingerprint, короткий ідентифікатор гаманця, й адресу отримання на екрані пристрою. Надішліть малу тестову суму; решту переказуйте лише після перевірки призначення та отримання. Врахуйте всі рахунки з коштами, гаманці з passphrase, похідні гаманці й multisig. Стару копію збережіть до підтвердження всього переказу. За розбіжностей нічого не надсилайте й не стирайте. Ніколи не вводьте таємні дані відновлення у вебформу. [5]

Multisig вимагає для переказу визначеної кількості підписів від кількох ключів. Якщо нападник отримав достатньо ключів для виконання цього правила, захисту вже недостатньо. Потрібно оцінити решту ключів, підготувати й перевірити на пристрої нове правило підписання та перевести кошти. Block описує інші застосування того самого генератора: окремі ключі Paper Wallet і деякі тимчасові ключі шифрування. Наслідки залежать від конкретного використання й даних, доступних нападнику; вони не однакові для кожної функції. [3] [5]

Сторінка стану називає тест апаратного генератора на справжньому Mk4, перевірку джерельного коду та незалежне повторення складання конкретного виправлення. Це допомагає перевірити описаний механізм, але не доводить безпеку кожного випущеного файла. Поточний Standard також вимагає власного внеску випадковості користувача для нового seed. Старі рекомендації, що такий внесок завжди необов’язковий, уже не є актуальним порядком для цієї гілки. Сторінка фіксує перебіг виправлень; окремий докладний технічний звіт про причини досі позначено як такий, що готується. [4]